WordPressをTwo-Factorで２要素認証を有効にする

このサイトは現在WordPressで管理されています．メジャーなアプリケーションなので攻撃も多いです．パスワードを少し長く二十数文字にしていますが少し不安．ということで多要素認証を使うことにしました．

一般的なTOTPとバックアップコードに対応しているものを探してみました．

TOTPで検索すると沢山出てきます．よく使われていそうなTwo-Factor を試してみます．

Two-Factor – WordPress plugin | WordPress.org

WordPressにログインした状態で，「サイトネットワーク管理者」→「プラグイン」でプラグインページに移動．
「新規追加」を押してプラグイン検索画面に遷移するのでキーワードに「TOTP」と入れて検索して「Two-Factor」を「今すぐインストール」ボタンで導入．導入が終わるとボタンが「ネットワークで有効化」になるのでこれも押して有効にします．

自サイトのPluginページで「Two Factor」が有効になっているのを確認，「ユーザー」→「あなたのプロフィール」の「Two-Factor 設定」でTOTPのコードを自分の利用しているアプリに登録してコードを登録して有効にします．TOTPの他にメールとバックアップコード(保存しておきます)も有効にしました．

別のブラウザでTOTPとメール，バックアップコードでログインできるのを確認．とりあえずOKそうです．

TOTPの計算にはoathtoolを使った自作scriptを利用しています．KEYは暗号化して実行時に一時的に復号しています．

$ oathtool --totp -b FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF
346419
$ 2auth-cli.sh blog
Password:
matoken@matoken.org/blog : 590604

パスワードのみよりは安心になったかな?

Note

管理画面をlocalhostのみアクセス可能にしてポート転送にしてしまってもいいかな?

環境

$ dpkg-query -W wordpress
wordpress 5.0.15+dfsg1-0+deb10u1
$ lsb_release -dr
Description: Debian GNU/Linux 10 (buster)
Release: 10
$ arch
x86_64