הגדרת אימות דו-שלבי (2FA) ב-1C-Bitrix
אפילו סיסמה חזקה אינה מבטיחה אבטחה: פישינג, קיילוגרים ודליפות מסדי נתונים הם איומים ממשיים. אימות דו-שלבי (2FA) ב-1C-Bitrix חוסם תרחישים אלו: אפילו בידיעת הסיסמה, ללא קוד חד-פעמי, הכניסה בלתי אפשרית.
אנו מגדירים 2FA בהתאמה אישית למערכת שלכם: מהפעלת OTP מובנה ועד אינטגרציית SMS מותאמת. אנו מבטיחים שלאחר ההטמעה, שום השתלטות על חשבון לא תצליח. עם למעלה מעשור של ניסיון, ביצענו יותר מ-50 פרויקטי 2FA, כולל אתרי מסחר אלקטרוני גדולים ופורטלים ארגוניים. להגנת הפרויקטים שלכם, פנו אלינו לייעוץ.
למה סיסמה אחת לא מספיקה
אפילו סיסמאות מורכבות יכולות להיירט באמצעות פישינג, קיילוגרים או דליפות מסדי נתונים. מחקר של Microsoft מראה ש-99.9% מהחשבונות שנפרצו לא היו מוגנים ב-2FA. אימות דו-שלבי מוסיף גורם שני—משהו שרק המשתמש מחזיק: קוד TOTP מאפליקציה או SMS. תקן TOTP מתואר ב-RFC 6238—תקן פתוח הנתמך על ידי כל האפליקציות המודרניות לאימות.
כיצד פועלת אימות OTP מובנית
המודול 2FA הוא חלק מהמודול main. יש להפעיל אותו בהגדרות → מודול ראשי → אימות דו-שלבי. פרמטרים:
- כפייה לשימוש—עבור קבוצות משתמשים נבחרות. חייב להיות מופעל עבור הקבוצה 'מנהלים'
- תקופת תוקף הקוד—TOTP סטנדרטי: 30 שניות. אין לשנות ללא צורך
- אורך הקוד—6 או 8 ספרות
לאחר ההפעלה, המשתמש מקבל קוד QR באימות הבא כדי להגדיר אפליקציית אימות. הסוד נשמר מוצפן ב-b_user.OTP_SECRET. כל האפליקציות הפופולריות נתמכות: Google Authenticator, Authy, Microsoft Authenticator.
שיטות 2FA זמינות ב-Bitrix
Bitrix מציעה שתי שיטות עיקריות: TOTP מובנה ו-SMS באמצעות פיתוח מותאם אישית. להלן השוואה:
| שיטה | מורכבות יישום | אבטחה | נוחות למשתמש |
|---|---|---|---|
| OTP (TOTP) | נמוכה (מובנה) | גבוהה | גבוהה (מילוי אוטומטי) |
| SMS | בינונית (שער) | בינונית (יירוט SIM) | בינונית (הזנה ידנית) |
| קודי גיבוי | דורש פיתוח מותאם אישית | גבוהה | גבוהה (קודים על נייר) |
קודי TOTP מאובטחים פי 100 מקודי SMS מכיוון שהם מקושרים למכשיר, ולא לכרטיס SIM. התקפות של יירוט SMS (SS7) כמעט ואינן משפיעות על TOTP.
טעויות הגדרה אופייניות
| טעות | השלכות | פתרון |
|---|---|---|
| אין נוהל איפוס | העובד מאבד גישה לחשבון | פיתוח סקריפט איפוס מבוסס מנהל |
| אכיפת 2FA רק עבור חלק מהמנהלים | האחרים נשארים פגיעים | אכיפה מלאה עבור כל הקבוצות עם הרשאות |
| שימוש ב-hash סיסמה חלש | MD5 ללא salt—קל לפצח | עדכון ה-hash ל-bcrypt באמצעות main::OnUserLogin |
דוגמה מפורטת להגדרת מאמת
לאחר הפעלת המודול, המשתמש רואה קוד QR. חשוב: ה-secret מוצפן באמצעות מפתח המודול הראשי. אם המפתח לא נוצר (קובץ /bitrix/secret\_key), יש ליצור אותו לפני ההפעלה.מקרה מהפרקטיקה
אתר מסחר אלקטרוני עם הכנסה של по индивидуальному расчёту בחודש. חשבון מנהל הותקף באמצעות ניחוש סיסמה—צירוף חלש שלא נתפס על ידי הגבלות אורך במדיניות הישנה. התוקף שינה את פרטי התשלום. הפסד: по индивидуальному расчёту ב-4 שעות.
לאחר התקרית: אכיפת 2FA עבור קבוצות 'Administrators' ו-'Managers', ביקורת של כל הסיסמאות הקיימות דרך b_user.PASSWORD עבור האשים חלשים (MD5 ללא salt—חשבונות ישנים). בנוסף, הגדרנו נעילה לאחר 5 ניסיונות התחברות כושלים. מאז, לא התרחשו תק incidents דומים.
כיצד ליישם 2FA עבור משתמשים חיצוניים
אם יש צורך להחיל 2FA רק על תת-קבוצה של משתמשים (למשל, עובדים אך לא לקוחות):
- Settings → User Groups → [קבוצת יעד] → Two-factor authentication: Required
- או פרוגרמטית באמצעות האירוע
OnAfterUserAuthorize—לבדוק את הקבוצה ולהפנות לעמוד הגדרת OTP
האירוע OnOTPCheck מאפשר להרחיב את הלוגיקה: למשל, לא לדרוש קוד בעת גישה מכתובת IP של המשרד.
אימות SMS
ל-Bitrix אין שער SMS מובנה ל-2FA, אך ניתן לפתור זאת באמצעות מטפל האירוע OnOTPCheck—ניתן לחבר כל ספק SMS (למשל, SMS.ru, SMSC.ru). יישום: בהתחברות הראשונה, נוצר קוד, נשלח ב-SMS, ומוזן על ידי המשתמש. חלופה היא מודולים מה-Marketplace ל-2FA ב-SMS, אם אתם מעדיפים לא לכתוב מטפל משלכם. אנו ממליצים להשתמש ב-TOTP כשיטה עיקרית וב-SMS כגיבוי.
מה כלול בעבודה
- ביקורת של מדיניות הסיסמאות הנוכחית וקבוצות המשתמשים
- הפעלה והגדרה של אימות OTP מובנה
- אינטגרציית SMS מותאמת אישית (אם נדרש)
- יצירת נוהל לאיפוס 2FA וקודי גיבוי
- תיעוד והדרכת צוות
- אחריות תמיכה לאחר ההשקה (שבועיים)
תהליך
- ניתוח—לימוד התצורה שלך, קבוצות המשתמשים והדרישות
- עיצוב—בחירת שיטה (OTP, SMS, משולבת)
- יישום—הגדרת כלים מקוריים או פיתוח מטפלים
- בדיקות—אימות בחשבונות בדיקה, סימולציה של תרחישי אובדן גישה
- פריסה ותיעוד
לוח זמנים
הפעלה והגדרה של OTP מובנה עבור כל הקבוצות—מ-2 עד 3 שעות. עם אינטגרציית SMS מותאמת אישית—מיומ עבודה אחד. העלות מחושבת באופן אישי בהתאם למורכבות ולמספר הקבוצות.
צרו קשר לייעוץ מפורט—ניישם 2FA בהתאמה לפרטי העסק שלכם. אנו מפתחים על Bitrix למעלה מעשור והשלמנו יותר מ-50 פרויקטי 2FA. אנו מספקים אחריות על כל העבודות.