突然、WordPress.org へのログインができなくなって ??? と思ったのですが、WordPres.org Plugin Directory からのメールをみて納得しました（6月29日に届いていた）。
件名：[WordPress.org] Password Reset Required for Plugin Authors
内容としては、一部のプラグイン作者がパスワードの使いまわしをしていて、そのパスワードが WordPress.org とは異なるサイトで漏洩してしまい、これを悪用されたかで WordPress.org のプラグインディレクトリのいくつかのプラグインに悪意あるコードを追加されてしまった模様という感じですね。
Password Reset Required for Plugin Authors – Make WordPress Plugins
一時的に全プラグインのコミットはチームによる承認制なって対策していたということです。現在は解除されているとのこと。
で、プラグイン作成者とセキュリティ研究者によって漏洩したとおもわれるパスワードを使っていたユーザーについて、WordPress.org へのログインパスワードを無効化（強制リセット）したということです。
プラグイン作成者は、パスワードのリセットが必要になったわけですが、同時に２段階認証を有効にするように推奨しています。というわけで私のパスワードも無効化されていたのでした。
WordPress.org は、2023年5月から２段階認証を導入していた
下記のようにプラグインコミッターは、少なくてもパスワードに20文字以上で、大文字小文字記号を含め、他のサービスで使いまわししないようにとあります。私自身はランダム生成のパスワードをつかっているので、使い回しはありませんが、パスワードは12文字だったので今回20文字以上にしました。
Keeping Your Plugin Committer Accounts Secure – Make WordPress Plugins
プラグインコミッターでなくても、アカウントへの不正アクセスを防ぐためにも２段階認証は有効にしたほうがよいですね！ 私もしていたつもりがしていなかったので今回してみました。
STEP 1. Two-Factor App と Two-Factor Backup Codes を有効にしてみる
下記にアクセスします。
Two-Factor Apps
あらかじめ、 スマートフォンに Google Authenticator や Microsoft Authenticator など２段階認証用のアプリをインストールしておきます。そして、Two-Factor App をクリックして、表示されたQRコードを、そのアプリで読み込みます。すると6桁の数字が一定時間ごとに変更されたものが表示されるので、その数字を入力して設定を完了します。
Tw-Factor Backup Codes
ここをクリックすると10個の緊急時用の１度のみ使えるバックアップコードが発行できます。もし２段階認証として使っていた端末やアプリが使えなくなったときにログインできるコードになります。どこかにメモっておきます。
STEP 2. Two-Factor Security Key を有効にする
最近流行りのパスキーです。
パスキーの詳しい話は、Googleの公式ヘルプあたりをチェックするとよいかなと思います。
パスワードの代わりにパスキーでログインする - Google アカウント ヘルプ
こちらは端末ごとに設定しておくことになります。パスキーに対応している端末をお持ちの場合には設定しておくと便利ではあります。
下記の「Register new key」をクリックして、名前をつけて設定します。
macOS をお使いなら、iCloud キーチェーンのほうに保存しておくのがよいでしょう。
設定するとパスキーがメインの認証方法になります。
STEP 3. 実際にログインを試してみる
各ブラウザについてプライベートモード（Cookieとキャッシュを無効化したログインしていない状態）にして、WordPress.org にログインしてみます。
アカウントとパスワードを入力すると、下記のようにパスキーを聞いてきます。
macOSと iPhoneをセットで持っているなら、iCloud キーチェーンで同期しているため、iPhoneのカメラで下記のQRコードを読み取ってアクセス。iPhoneのほうで認証します。iPhoneで顔認証を有効にしていれば、顔認証をすることで認証できることになります。
それができない（オンラインでない）場合には、「キャンセル」ボタンをクリックして、下記のようにエラーがでてきたら「User your authenticator app」を選択して、スマートフォンに設定したはずの認証アプリに表示されている WordPress.org 用の6桁の数字を入力すればよいです。この認証アプリについてはオフラインでの利用が可能です。
２段階認証を有効にしておけば、パスワードが漏洩したとしてもログインされることはなくなります。特にパスワードの使い回しをすると、他の脆弱なサイトで漏洩する危険性があるので、そうしないように気をつけないといけませんね
なおパスワードを考えつかない！という場合には、パスワード生成してくれるサイトは検索すればいろいろでてきます。そうしたものを活用してパスワードをランダム生成して、それをブラウザのパスワードマネージャーに保存する、メモするなどをしておくとよいかと思います。
2024年7月3日 @kimipooh
