wordpress

WordPressプラグイン「Google Authenticator」。2段階認証用のアプリを消してしまった時の復旧方法。

投稿日:

スマホの初期化をこないだしたときに、WordPressへのログインがうまくいかなくなったことがあるので、その時の様子を紹介します。

原因から言うと、ログインするときには二段階認証の仕組みを取り入れているんですが、スマホ初期化したときに、二段階認証のためにスマホに入れていたアプリのGoogle Authenticatorも当然消えてしまったからです。。。

二段階認証とは、IDとパスワードの認証に加えて別の要素でも認証をする仕組みです。二要素認証と呼ばれることもあります。Google Authenticatorの場合はワンタイムパスワードの仕組みを使用します。

(SPONSORED LINK)

他の端末で認証の設定をせずアプリを消してしまったので復旧には少し苦労しました。。。

復旧作業

復旧したときの手順としては、流れを簡単に書くと以下の内容です。
1、SSHでサーバにログイン
2、プラグインのGoogle Authenticatorを無効化
3、WordPressにログイン
4、プラグインのGoogle Authenticatorを有効化
5、Google Authenticatorの再設定
6、WordPressにログイン確認

細かいことは割愛しますが、ポイントとなるのが、2番と4番のプラグインのGoogle Authenticatorの有効・無効化の方法です。

本来であれば、プラグインの設定はWordPressにログインをしてから行うものですが、アプリを消してしまったのでワンタイムパスワードの確認ができないのでWordPressにログインができません。そんな時のための回避策です。

手順の1番でサーバにまずはログインをして、プラグインが格納されているディレクトリに移動をします。
# cd (WordPressのパス)/wp-content/plugins

移動したらプラグインを無効化するためにコマンドでフォルダ名をリネーム(別の名前に)します。これだけでプラグインの機能を無効にできます。
# mv google-authenticator google-authenticator_backup

ワードプレスのプラグイン機能はファイル群が格納されたフォルダを置かれていて、その中身を読み込んでいるだけです。その特性を使って、フォルダの名前を変更してプラグインを無効にすることができます。

そして、Wordpressのログイン画面を開きます。この時は、Google Authenticatorが無効になっているので、ワンタイムパスワードの入力フォームは表示されないので、IDとパスワードだけでログインすることができます。
2017-01-05_19h02_47

次に、ログインをした状態でプラグインを有効にします。方法は先ほど名前を変更したフォルダを元に戻すだけです。これでプラグインが再度有効になります。
# mv google-authenticator_backup google-authenticator

次に、Google Authenticatorを再設定します。方法は、ユーザのプロファイル画面を開いて、Active(有効)にチェックが入っていることを確認をして、表示されているシークレットキーをアプリに入力するか、QRコードを表示して読み込みます。
wordpress 二段階認証 復旧

ここまでの作業でGoogle Authenticatorの再設定は完了です。ログアウトを一度して問題なくログインできるかを確認はしておきます。

あとがき

WordPressの管理者ユーザはすごく重要なのでセキュリティ対策は重要です。

そのためにワンタイムパスワードの設定をしていましたが、アプリを消してしまった時はもしかしたら永遠に管理者ユーザでログインできないということが頭をよぎりました。

でも、SSHでサーバにログインをしてプラグイン機能を無効にすることで復旧できることを見つけた時は本当に助かりました。もし、SSHができる環境がなければ諦めるかホスティングの業者に作業を依頼することになると思います。

あと、見方によればSSHの環境が乗っ取られても二段階認証の機能も操作されてしまうので、SSHの秘密鍵の設定は必須で鍵も盗まれないように気を付ける必要があると再認識しました。

-wordpress
-, , , ,

Copyright© ZIBUNLOG , 2017 All Rights Reserved Powered by AFFINGER4.