Tag: 2fa

Klonowanie serwerów VPS za pomocą programu Rsync i bezpiecznego połączenia SSH

Z końcem roku wygasa moje ostatnie konto hostingowe, czyli hosting współdzielony. Zostaną mi tylko konta opłacane bezpośrednio przez niektórych klientów (coś o tym będzie niebawem). Wprawdzie z takim zamiarem nosiłem się od dawna, to cały czas utrzymywałem 2 ostatnie konta tego typu, na których trzymałem „spokojniejsze strony”. Pierwsze konto pożegnałem we wrześniu, za kilka dni pożegnam ostatnie. Nie będę ukrywał, że w podjęciu decyzji pomogła mi firma hostingowa (o tym też będzie niebawem). Niezależnie od powodów, całkowita rezygnacja z hostingu współdzielonego oznacza, że musiała rozwinąć się moja flota serwerów VPS…

Jeśli korzystasz z Authy, to może zainteresuje Cię oficjalna (i samodzielna) aplikacja Authy na komputer

Z podwójnego uwierzytelnienia (2FA) staram się korzystać gdzie się tylko da, i  ze względów chyba dość oczywistych, moim podstawowym partnerem w tym jest aplikacja na telefonie, która odpowiada za generowanie kodów jednorazowych (programowy token). Dawno, dawno temu używałem aplikacji Google Authenticator, która wprawdzie wizualnie może i się (trochę) zmienia, to brakuje jej choćby takiej podstawowej funkcjonalności jak kopie zapasowe czy synchronizacja między urządzeniami – w przypadku utraty telefonu tracimy automatycznie wszystkie tokeny. I to mimo, że aplikacja jest od Google, a więc aż by się prosiło zintegrować ją z kontem Google.
Dlatego równie dawno temu przerzuciłem się na Authy, które oprócz aplikacji na telefon ma wtyczkę do przeglądarki Chrome, a od niedawna również samodzielną aplikację na komputer…

Od 7 kwietnia 2017 Profil Zaufany ePUAP bez autoryzacji przy użyciu poczty elektronicznej (oczywiście zostają kody SMS)

Z Profilu Zaufanego ePUAP korzystam chyba od samego początku jego istnienia – z samej platformy ePUAP mniej (choć może to się zmieni, bo w końcu zaczęło coś tam się dziać), ale Profilem Zaufanym całkiem wygodnie autoryzuje się zmiany w CEIDG czy ZUS PUE. Dziś otrzymałem wiadomość, że za kilka dni platforma definitywnie żegna się z kodami jednorazowymi przesyłanymi za pośrednictwem poczty e-mail – dostępna będzie tylko (dodatkowa) autoryzacja za pomocą SMSów.

Na dobry początek dnia mój telefon (Android) poprosił mnie o ponowne zalogowanie do wszystkich kont Google

Dziś rano przywitała mnie „miła niespodzianka” na telefonie – musiałem dokonać ponownego logowania dla wszystkich konto Google jakie mam skonfigurowane w telefonie. W tym czasie dostałem też pierwsze zapytania od znajomych, których tez spotkała taka „niespodzianka” z pytaniem, czy jest to powód do zmartwień/obaw…

Z radością przywitałem niezależny Profil Zaufany, i raczej nie będę tęsknił za platformą ePUAP

Weekend – taki przedłużony, bo od samego rana w piątek, do poranka w poniedziałek – spędziłem w Trójmieście, z naciskiem na Gdynię, i WordCamp, który był głównym powodem mojego wyjazdu.
Po powrocie „dzień pracy” zacząć musiałem od zapłaty kolejnego podatku, dla niepoznaki zwanego ZUSem – samą deklarację ZUS DRA wygenerowałem szybko i sprawnie w serwisie wFirma, gdzie prowadzę księgowość krajowej działalności gospodarczej. Od razu pobrałem też plik ZUS KEDu, dzięki któremu szybko mogę zaimportować deklarację do Platformy Usług Elektronicznych ZUS (PUE ZUS).
I tu niespodzianka – wiedziałem, że w weekend była jakaś przerwa techniczna związana z platformą ePUAP, i jak się okazuje, prawdopodobnie było to związane z wyodrębnieniem Profilu Zaufanego do oddzielnej usługi…

Logowanie przez SSH/SCP z wykorzystaniem certyfikatu (klucza prywatnego i publicznego)

Jakiś czas temu pisałem o zdalnej synchronizacji danych między różnymi komputerami/serwerami przy wykorzystaniu programu rsync i połączenia po SSH.
Przy tej okazji wspomniałem, że do uwierzytelnienia przy połączeniach (SSH/SCP) można wykorzystać również certyfikaty/pliki-klucze, dzięki czemu może być nie tylko bezpieczniej, ale i – przy rezygnacji z hasła dla pewnych zadań – wygodniej (da się też w ten sposób zautomatyzować połączenia, np. na potrzeby skryptów).
I właśnie logowaniu do/przez SSH/SCP z wykorzystaniem kluczy chciałbym poświęcić ten wpis…

Logowanie przez SSH/SCP z wykorzystaniem kodów jednorazowych Google Authenticator

Po pewnej przerwie wracam(y) do tematów związanych – mniej lub bardziej bezpośrednio – z bezpieczeństwem (zabezpieczaniem) serwerów (dedykowane, VPS, Raspberry Pi).
W tym wpisie postaram się pokazać, jak można zabezpieczyć proces logowania do systemu przez SSH/SCP za pomocą dodatkowego składnika uwierzytelniającego – jednorazowego kodu generowanego przez programowy token, który będzie wymagany do za zalogowania się do systemu (oczywiście oprócz loginu i hasła).

Korzystasz ze wspólnego konta Google na urządzeniu z systemem Android? Przeczytaj, jak to się może skończyć

Bez wnikania w zbytnio szczegóły – w ramach wprowadzenia – napiszę tylko, że zostałem ostatnio poproszony o pomoc w jednym z projektów realizowanych m.in. przez mojego znajomego.
Jako jedno z podstawowych narzędzi „pracy grupowej” wykorzystują oni wspólne konto Google (wraz z całym ekosystemem usług), co z doświadczenia wiem, jest dość popularne (zwłaszcza na uczelniach, gdzie często takie konto służy m.in. do wymiany notatek/materiałów z zajęć).
I mimo, że nie jestem szczególnym fanem takiego rozwiązania, bo do tego lepiej wykorzystać bardziej wyspecjalizowane „w pracy grupowej” narzędzia, to nie mam też nic przeciwko, poza jedną kwestią – bezpieczeństwa telefonu z system Android…

Authy jako programowy token w dwuskładnikowym uwierzytelnieniu logowania do Facebooka

Wprawdzie ciężko nazwać mnie użytkownikiem Facebooka (prędzej Twittera, który dzięki odpowiednio dobranej grupie „obserwowanych” traktuje jako kolejne źródło informacji), to jednak bezpieczeństwo nawet tak – przynajmniej w moim specyficznym przypadku – mało istotnej rzeczy jak moje konto na Facebooku traktuje standardowo, czyli dość poważnie.
Dlatego postanowiłem włączyć również i tu 2FA, czyli dwuskładnikowe uwierzytelnienie (zwłaszcza, że pod moim „martwym prywatnym profilem” znajduje się tez strona WebInsidera, gdzie trafiają też informacje o najnowszych wpisach).

Instalacja WordPressa w kilku prostych krokach na hostingu współdzielonym (Softaculous, Installatron i cPanel, DirectAdmin)

W sierpniu opisałem jak w kilku kliknięciach postawić serwer VPS (na przykładzie serwera VPS w DigitalOcean) z gotową stroną opartą o CMS (system zarządzania treścią) WordPress.
Przy tej okazji powstał ten wpis – poświęcony podobnej operacji na tzw. „hostingach współdzielonych”, które może dają mniejsze możliwości niż własny serwer (np. VPS), ale są zdecydowanie prostsze w codziennym zarządzaniu. Nie bez znaczenia jest też cena, która w przypadku kont współdzielonych zazwyczaj też jest (sporo) niższa… Dlatego nie powinna nikogo dziwić duża popularność takich rozwiązań. Sam tak zaczynałem, i do tej pory mam kilka kont na hostingach współdzielonych, które uzupełniają serwery VPS przy mniej wymagających projektach ;-)
I wprawdzie – jak to często bywa – i ten wpis swoje musiał odczekać przed publikacją, to wierzę, że wyszło mu to tylko na dobre – choćby dzięki „ostatnim szlifom na chłodno”. Tak więc do dzieła – przed nami uproszczona (prawie automatyczna) instalacja WordPressa na hostingu współdzielonym…

Zaloguj się za pomocą konta Google do swojego systemu księgowego w wFirma

Niedawno pisałem o tym, że w serwisie wFirma (księgowość online) pojawiła się możliwość aktywacji dwuelementowego uwierzytelnienia (Google Authenticator (2FA)). Dziś podczas logowania do serwisu zauważywszy kolejną nowość – można powiedzieć, że kolejny logiczny krok po wprowadzeniu 2FA, czyli możliwość podpięcia konta Google do swojego konta w serwisie.

Wyciek loginów i haseł do DropBoxa

W sieci pojawiła się lista 400 loginów i haseł do serwisu DropBox. Przedstawiciele serwisu twierdzą, że wyciek nie nastąpił z bezpośrednio z usługi/serwisu DropBox, i przypominają o tym, że warto stosować weryfikację dwuskładnikową – co powinno przeciwdziałać dostępowi do naszych danych w sytuacjach takich jak ta.
Oczywiście i tak warto prewencyjnie zmienić hasło w serwisie DropBox, oraz w innych serwisach gdzie używacie identycznej pary login/hasło.

Migracja z Google Authenticator do Authy (Android)

Korzystam z podwójnego uwierzytelnienia wszędzie gdzie mogę, a dane/konto ma jakiekolwiek znaczenie… Na telefonie korzystam z Google Authenticator (do niedawna większość kont/usług) i Authy (do niedawna tylko CloudFlare).
Właśnie skończyłem migrację z Google Authenticator do Authy (Android) i może komuś się przyda garść informacji, które mogą w tym pomóc…

Loading

InfoWidget

InfoWidget

InfoWidget