Detalles

Categoría: Seguridad

Desde su versión 3.2, Joomla! incorporó dentro de sus novedades el "Two Factor Authentication Pllugin" o como podríamos llamarle, "Plugin de autentificación doble", ¿De qué va esta nueva forma de iniciar sesión en Joomla!?

Concepto:

El plugin de autenticación doble está para que podamos aumentar la seguridad en nuestros sitios Joomla!, esto debido a que cuando habilitamos el plugin, se convierte prácticamente imposible para un hacker tratar de ingresar a nuestra cuenta a través de la fuerza bruta, pues aún cuando pueda hacerse de nuestra contraseña, no podrá hacerse de la segunda clave, pues esta la tendremos solo nosotros a través de nuestro teléfono móvil.

Aquellos que han trabajado con banca o banco online entenderán de inmediato a lo que me refiero, este plugin convierte nuestro teléfono móvil en un "digipass", pues nos irá asignando una clave aleatoria a la que podremos recurrir al momento de iniciar sesión en nuestros sitios Joomla!, por lo tanto, además de nuestra clave de acceso, tendremos esta segunda clave que se genera específicamente para ese inicio de sesión en lo particular.

Pregunta Recurrente:

Desde que se introdujo esta nueva característica en Joomla!, una de las preguntas más recurrentes que he escuchado al respecto es: Si habilito el plugin, ¿qué sucede con aquellos usuarios de mi sitio web que no tienen celular?

La respuesta es bastante simple y lógica a la vez, no sucede nada, pues el hecho que habilites el plugin no lo convierte en mandatorio para todos los usuarios, sino que al habilitar el plugin le das la opción al usuario de decidir si desea o no usar esta segunda clave de autenticación.

Otra pregunta es respecto a qué parte del sitio es la que se ve afectada con la autenticación doble, pues bien, el plugin de Joomla! nos permite decidir si queremos utilizar el plugin de autenticación doble en el frontend, backend o ambos casos.

Por ejemplo, tenemos un sitio web de comercio online y tenemos usuarios que han entregado datos personales sensibles, tales como dirección de despacho de la compra, teléfono directo, etc., pero también tenemos usuarios registrados con información mucho menos sensible, que se han registrado solo para recibir un newsletter mensual de nuestro comercio. Al tener esta opción de segunda autenticación, le damos a aquellos usuarios que nos han dado información sensible, la opción de proteger su contraseña con este plugin de autenticación doble. Del mismo modo, como super administradores de sitios, es altamente recomendable tener activado este plugin para todos aquellos que tengan acceso al backend o administración de nuestro sitio, para mantener nuestra información o contenido lo más seguro posible.

Dispositivos

Una vez que te hayas decidido a utilizar el plugin de autentificación doble, te preguntarás respecto al tipo de dispositivos móviles que tienen acceso a esta segunda clave, pues bien, para tu tranquilidad te puedo comentar que, al haber sido desarrollado por Google bajo la filosofía del Open Source, este sistema de autenticación está disponible prácticamente para todos los sitemas operativos de equipos móviles. Funciona con Android, iOS, Blackberry y Windows Phone. Puedes ver un detalle más completo al respecto en la wikipedia a través del siguiente enlace: http://es.wikipedia.org/wiki/Google_Authenticator

Habilitación y puesta en marcha

Para habilitar el plugin, solo debemos ingresar al administrador de nuestro Joomla! y desde el gestor de plugins buscamos el plugin "Autentificación de factor doble - Autentificador Google"

Ingresamos al plugin y veremos de inmediato los parámetros del plugin, en donde podremos elegir si lo habilitamos para la zona del sitio, de la administración o para ambas, cambiamos el estado de "deshabilitado" a "Habilitado", guardamos los cambios y con eso ya tendremos el plugin habiitado en nuestro sitio.

Si damos una vista rápida a nuestra página de inicio, veremos que ya aparece un tercer recuadro dentro del formulario de acceso de nuestro sitio web.

Activarlo paro los usuarios

Ahora bien, como comenté anteriormente, el hecho de tener habilitado el plugin, no significa que la autenticación doble esté vigente para todos, sino que cada usuario deberá ir habilitándola personalmente en base a su preferencia de uso, pero para que esto sea posible, debes tener en cuenta que es importante tener habilitado un enlace a la edición de perfil del usuario, para que el usuario registrado pueda modificar sus datos a través del menú cuando accede al sitio, de lo contrario no podrá acceder a su perfil para habilitar el plugin.

Si hacemos caso a ese perfil, veremos que ya nos aparece toda una sección dentro del mismo en el que se nos ofrece, como usuarios, hacer uso del sistema de autentificación doble, basta con que nosotros, como usuarios, seleccionemos la opción "Autentificador de Google" y automáticamente se desplegaran los pasos necesarios, el primer paso nos indica de qué se trata el autentificador y un par de enlaces de referencia a la wikipedia y el segundo paso nos muestra la configuración con los datos que necesitamos para la correcta autentificación y un muy cómodo código QR que nos permitirá acceder al autentificador sin errores de ningún tipo. Seguimos los pasos, escaneamos el código QR y obtendremos de inmediato nuestra primera clave, la ingresamos en el recuadro de abajo y ya tendremos habilitado el plugin en nuestra cuenta de usuario.

A partir de ese momento, cada vez que iniciemos sesión en el sitio web, podremos utilizar el autentificador de factor doble e iniciar sesión de forma segura. Les adjunto una imagen de como se ve la clave desde el dispositivo y en el inicio de sesión

Como te habrás dado cuenta, como administrador del sitio, solo debemos habilitar un plugin, el resto del trabajo corresponde a cada usuario por separado, para aquellos que saben como usar el factor de autentificación doble, no será mayor problema el hacer uso de la herramienta, para aquellos que no saben como usarlo, un mini tutorial en tu sitio o un enlace a este artículo debieran ayudar.