Movable Typeで、サインイン時に多要素認証を利用できるようにするプラグインを公開しました。
現時点では「Eメールによる確認コードの送信」と「Google Authenticator（TOTPが利用できるデバイスやアプリ）による確認コードの生成」に対応しています。（どちらか一方のみを、システムで有効化できます）
いずれのプラグインも、Movable Type 6 でも Movable Type 7 でも利用できます。（どちらかというと Movable Type 7 に最適化されています）
Eメールによる確認コードの送信
デモ
使い方
以下の2つのプラグインをインストールします。
インストールすると全てのユーザーで、サインイン時にEメール経由で送信される確認コードの入力が必要になります。
Google Authenticatorによる確認コードの生成
デモ
インストールに必要な要件
CPANモジュールのDigest::HMAC_SHA1を必要としています。マネージドなレンタルサーバーではインストール済みであることが多いと思います。自分で環境を構築している場合には明示的にインストールする必要があるかもしれません。
また、同じくCPANモジュールのMath::Random::MTは、必須ではないものの推奨されています。このモジュールがインストールされていると暗号的により好ましい設定が生成されます。（ただ、多要素認証はパスワード認証を補強するものであるので、「インストールされていなくてやや好ましくない設定が生成される」状態ではあっても、充分に有用なものであると言えると思います）
使い方
以下の2つのプラグインをインストールします。
インストールすると各ユーザーが、ログイン後に「システム > 多要素認証」のメニュー内の「Google Authenticator」で有効と無効を切り替えられるようになります。Google Authenticatorだけでなく、 AuthyなどTOTPに対応している多要素認証のコードを生成するアプリケーションであれば利用できると思います。有効化されているユーザーでは、サインイン時に確認コードの入力が必要になります。
万が一、デバイスを紛失するなどでコードが生成できなくなった場合には、管理者としてサインインすると「システム > ユーザー」で多要素認証のリセットを行うことができます。（管理者がサインインできなくなった場合にはまずは落ち着いて、その後プラグインをアンインストールしてサインインして、サインイン状態のまま再度インストールするとサインイン状態が維持されるので、そこでリセットの操作を行うことができます）
TODO
現時点では、これらのプラグインでは最低限の機能しか提供されていませんが、今後としては以下のような展開があってもいいかもしれません。
- リカバリーコードを利用できるようにする
- デバイスが手元になかったり紛失したりしてしまった場合に利用できる、リカバリーコードを生成できるようになるとよさそうです
- 有効にする認証のタイプを選択できるようにする
- 現在は、システム全体でEメールかGoogle Authenticatorのどちらか一方しか利用できないので、ユーザー自身で複数のタイプから選択できるようになるとよさそうです
- 多要素認証のポリシーをシステム全体で設定できるようにする
- 「多要素認証を、全てのユーザーで必須にする」などのポリシーを定められるようになるとよさそうです
この記事について
この記事は Movable Type Advent Calendar 2017 の21日目の記事です。
コメント