Joomla!® 5 - attivare l'Autenticazione a più fattori (MFA) ed il WebAuthn, il login senza password

In breve, l'autenticazione a due fattori ci richiede di inserire un'ulteriore conferma oltre a quella di nome utente e password mentre l'autenticazione Web è un sistema che sostanzialmente sostituisce l'inserimento manuale della password. La cosa interessante è che possiamo attivarle singolarmente o anche concatenarle insieme per il massimo della sicurezza. Ma entriamo più nel dettaglio.

Funzionalità introdotta con la versione 4.2 di Joomla!®. Abilitando l'autenticazione a più fattori, dopo aver inserito le credenziali di nome utente e password, ci verrà richiesta una ulteriore verifica per poter accedere al backend.
Questo sistema differisce dal precedente TFA (Two Factor Authentication) perché mentre nel TFA il codice di verifica andava inserito nella stessa finestra di login insieme al nome utente e password, con l'MFA avremo due fasi, la prima prevede l'inserimento di nome utente e password( o passkey), la seconda di un codice di verifica in una pagina dedicata. Questo secondo step è un significativo passo avanti rispetto al TFA perché ci consente di utilizzare molteplici sistemi di convalida.

Tutti questi controlli sono implementati attraverso plugin. In futuro potrebbero aggiungersi ulteriori plugin con nuovi metodi di autenticazione.

Ci permette di loggarci con il solo nome utente senza dover digitare la password. Questo sistema è molto sicuro perché utilizza una cifratura forte basata su chiavi pubblica e privata. La chiave pubblica viene memorizzata nel sito, quella privata rimane nell'autenticatore.
I vantaggi in termini di sicurezza sono molteplici, non dobbiamo più ricordarci ogni volta la password ed inoltre risolve i problemi legati alla sua gestione, intercettazione (man in the middle) ecc.
L'autenticatore è ormai di uso comune per molti servizi. Io per l'accesso ai siti web utilizzo il lettore d'impronte sulla tastiera del computer o il FaceID del cellulare.
Per funzionare sono indispensabili una connessione HTTPS ed un certificato valido sul dominio. Va benissimo anche quello di Let's Encrypt.
Il plugin del WebAuthn è il System - Passkey (Passwordless) Login, abilitato di default.

Per approfondire l'argomento soprattutto in relazione agli standard accettati per gli autenticatori, i browser supportati, le FAQ ed altro, consultate questo link alla documentazione di joomla.org: https://docs.joomla.org/WebAuthn_Passwordless_Login

Considerando quanto detto sinora, abbiamo a disposizione due strumenti per rendere sicuro l'accesso all'area amministrativa: MFA e WebAuthn.
Le combinazioni tra i due ci aprono diversi scenari con diversi livelli di sicurezza.
Come riportato nella documentazione di joomla.org, le combinazioni possibili dalla più sicura alla meno sicura sono:

1. WebAuthn come metodo di login primario e successivamente MFA. In pratica nella finestra di login inserisco solo l'user name, mi autentico col passkey (senza digitare la password) e passo alla pagina per la seconda verifica MFA ad es. con codice generato da Google Authenticator;
2. WebAuthn come unico metodo. Inserisco nome utente, mi autentico con il passkey e mi ritrovo subito nell'area amministrativa;
3. Username e password come metodo primario, poi MFA. Prima accedo con username e password, poi passo alla pagina di verifica per la seconda convalida;
4. Solo username e password. Sconsigliato, è il meno sicuro.

Anche a livello privacy utente si è lavorato molto. Ci sono limiti ben precisi per la gestione delle schede MFA ed anche a ciò che un Super User può e non può fare.
Se volete approfondire, vi consiglio di leggere questo articolo di Joomla!® Magazine:
https://magazine.joomla.org/all-issues/october-2022/new-to-joomla-4-2-multi-factor-authentication-mfa

Ora che abbiamo una panoramica delle funzioni disponibili procediamo con il tutorial e vediamo come configurare l'accesso al nostro sito al massimo livello di sicurezza abilitando: l'autenticazione Web (WebAuthn) per il login primario senza password e l'autenticazione a più fattori (MFA) con Google Authenticator come secondo step di verifica.
Nota: in questo tutorial la versione di Joomla!® è la 5.0.3 con php 8.1. Ho a disposizione: tastiera con Touch ID, iPhone con Face ID e App Google Authenticator.

Attivare l'autenticazione con passkey è veramente semplice. Dal menù laterale:

Utenti -> Gestione -> clic sul nome utente -> tab Accesso tramite passkey -> + Aggiungi nuova passkey (tasto verde)

Nel caso del Touch ID comparirà una finestrella di conferma, appoggio il dito sul Toch ID ed è fatta. Le chiavi sono generate e da questo momento posso entrare in amministrazione inserendo solo il nome utente e facendo clic su Accedi con una passkey.
Nota: devi avere una connessione HTTPS ed un certificato valido sul dominio.

ATTENZIONE - Sono operazioni delicate, da fare con cognizione di causa. Accertiamoci di avere un backup aggiornato del database prima di operare.
Possiamo agire in due modi, dando un comando SQL o in modo "visivo" semplicemente cliccando nelle varie finestre di phpMyAdmin. Io vi consiglio quest'ultimo.

I plugin coinvolti nell'MFA sono asserviti dalla tabella: #_extensions (dove # è un prefisso normalmente di 5 caratteri).

Nel database lo stato di abilitato/disabilitato dei plugin ha come valori:
Enabled=0 -> disabilitato
Enabled=1 -> abilitato

In questo esempio ho creato un database di test (db_testj5) ed il prefisso delle tabelle è "wja1s". Quella che dobbiamo cercare è quindi: wja1s_extensions

L'alternativa per disabilitare il plugin plg_multifactorauth_totp è lanciare una query SQL (nel database del sito) del tipo:

UPDATE `#_extensions` SET `enabled` = '0' WHERE `name` = 'plg_multifactorauth_totp';

dove # va sostituito con il prefisso della vostra tabella

Le query per disabilitare gli altri plugin saranno:

UPDATE `#_extensions` SET `enabled` = '0' WHERE `name` = 'plg_multifactorauth_yubikey';
UPDATE `#_extensions` SET `enabled` = '0' WHERE `name` = 'plg_multifactorauth_webauthn';
UPDATE `#_extensions` SET `enabled` = '0' WHERE `name` = 'plg_multifactorauth_email';

Dopo aver disabilitato il plugin, l'autenticazione MFA sarà disabilitata per tutti gli account utente.
Una volta rientrati in amministrazione sarà il caso di abilitare nuovamente il plugin (da System -> Manage -> Plugins) e rigenerare nuovi codici di backup o disattivare definitivamente la verifica MFA dal pannello di controllo dell'Autenticazione a più fattori.