Passwords Evolved v1.4.0

Важное примечание: этот плагин больше не поддерживается на wordpress.org. Пожалуйста, открывайте вопросы на GitHub.

Цель этого плагина - усилить аутентификацию WordPress с использованием стандартных рекомендаций по обеспечению безопасности. На данный момент плагин улучшает аутентификацию WordPress, выполняя следующие действия:

Обеспечение нескомпрометированных паролей

Этот плагин не позволяет кому-либо использовать пароли, которые появились в результате утечки данных. Всякий раз, когда кто-то заходит на сайт WordPress, он проверяет свой пароль с помощью параметра "Меня взломали?". API. Если их пароль оказался в результате утечки данных, плагин не позволит им войти в систему, пока они не сбросят свой пароль.

По умолчанию этот уровень принудительного применения применяется только к учетной записи с ролью "администратора". Вы можете изменить, для каких ролей будут применяться пароли, на странице настроек. Для людей, у которых есть роль, в которой не требуется принудительное использование пароля, плагин покажет предупреждение, когда они войдут в систему с скомпрометированным паролем.

Применение нескомпрометированного пароля также распространяется на случаи, когда кто-то сбрасывает или меняет свой пароль. Тем не менее, в таких ситуациях использование незащищенного пароля является обязательным. Кто-то никогда не сможет сбросить или изменить свой пароль на тот, который оказался в результате взлома безопасности. (Пока плагин может связаться с API.)

Использование более надежного хеширования паролей

Плагин также шифрует пароли, используя функции хеширования bcrypt и Argon2. Это самые сильные функции хеширования, доступные в PHP. Argon2 доступен изначально, начиная с PHP 7.2, но плагин также может шифровать пароли в более старых версиях PHP, используя уровень совместимости libsodium, представленный в WordPress 5.2.

Вам не нужно ничего делать, чтобы преобразовать хэш пароля в более надежный стандарт шифрования. Плагин позаботится о его преобразовании при следующем входе в систему после установки плагина. Если вы решите удалить плагин, ваш пароль продолжит работать и останется зашифрованным, пока вы его не сбросите.

Также стоит отметить, что использование более сильной функции хеширования важно только в случае утечки данных. Более надежная функция хеширования паролей значительно усложняет расшифровку паролей в результате утечки данных. В сочетании с применением нескомпрометированных паролей это поможет гарантировать, что эти пароли никогда не будут расшифрованы. (Или, по крайней мере, без значительных усилий.)