WordPress absichern - WP Camp 2012 in Berlin

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

Anzeige

WordPress absichern
Torsten Landsiedel
@zodiac1978

Was ist Sicherheit?

„Sicherheit ist ein relativer Zustand der Gefahrenfreiheit,
der stets nur für einen bestimmten...

100% Sicherheit gibt es nicht

Spannungsfelder

Sicherheit Benutzerfreundlichkeit

Wieso ich?
➔ Meine Webseite ist doch unwichtig!
➔ Wer hat denn Interesse an meinen Daten?
➔ Ich habe doch kaum Besuc...

Darum!
➔ Hosting für Phishing-Seiten
➔ Spam-Versand
➔ Vandalismus / Wettbewerb
➔ Link-Farming (Backlinks)
➔ Vire...

Es kann jeden treffen ...
➔ Reuters-Blog gehackt, nutzte veraltete WordPress-Version (Heise.de)
➔ Admartinator gehackt...

Sicherheit erreichen
➔ Updaten, Updaten, Updaten!
– WordPress-Core, Themes und Plugins aktuell halten
– Bena...

Gute Passwörter
➔ Möglichst lang (>10 Zeichen)
➔ Mehrere Wörter hintereinander
– Hutsahneregalhuepfburg
➔ Sat...

Schlechte Passwörter
➔ Vermeide bekannte Muster:
➔ Bernd1978 (Vorname + Geburtsjahr)
➔ P@ssw0rt (bekannte Er...

Das schwächste Glied der Kette ...

Der Weg muss sicher sein!
➔ Betriebssystem aktuell? Alle Sicherheitsupdates eingespielt?
➔ Virenscanner aktiv und aktu...

Aufräumen! + Ordnung!
➔ Unbenutzte Themes und Plugins löschen!
– Nein, deaktivieren reicht nicht …
➔ Plugins und...

Security-Basics
➔ Sicherheitsschlüssel in der wp-config.php setzen
– http://codex.wordpress.org/Editing_wp-config...

Security through obscurity

Security through obscurity
➔ „Sicherheit durch Verschleierung“
➔ Sinnvoll nur als Ergänzung!
➔ Präfix ändern
➔ $...

Wichtige Ordner verschieben
➔ wp-config.php (sofern möglich) in den Ordner über
dem öffentlichen Ordner verschieben
...

„admin“ als Username
➔ Früher Standard, daher häufig Angriffsziel
➔ User-ID=1=Admin → OMG!

➔ Admin umbenennen:
➔ ...

Ist das (un)sicher?
➔ Ist der neue Username dann geheim? Eher nicht ...
– Permalinkproblem:
● /?auth...

Warum nur ...

„admin“ als Username
➔ User-ID per MySQL ändern:
➔ UPDATE 'wp_users' SET 'ID' = '1234' WHERE 'wp_users'.'ID' = 1;
➔ ...

Autoren-Link umschreiben
➔ Autoren-Link umschreiben per Plugin: Edit Author Slug
➔ http://wordpress.org/extend/plu...

Benutzername von Kommentar-Klassen
entfernen
// Security: Hide Usernames from Classes
// d...

Login-Fehlermeldungen
➔ Login verrät, ob Benutzername und/oder Passwort falsch waren ...
➔ Schlechte Usability:
add_fi...

Brute-Force-Attacken
➔ Was hilft? → Gute Passwörter!
➔ Oder ein Plugin: Limit Login Attempts
➔ Grenzen kennen!
–...

Kill PHP execution
➔ Im Ordner „/uploads/“ per htaccess die Ausführung von PHP
verhindern:
<FilesMatch *.php>
...

wp-config.php schützen
➔ Bei PHP-Problemen darf niemals diese Datei öffentlich werden,
daher schützen!
<FilesMatch "...

Versionsnummer verstecken
➔ Generator-Eintrag aus Head entfernen:
– <meta name="generator" content="WordPress <?ph...

Versionsnummer verstecken
// remove wp version param from any enqueued scripts
// http://docs.appthemes.com/tutorials/remo...

SSL-Verschlüsselung
➔ Ab etwa 60 EUR / Jahr – SSL-Zertifikat
– define('FORCE_SSL_LOGIN', true);
– define('FO...

Zugriffsrechte
➔ Immer nur soviel Rechte einräumen wie nötig
➔ Trennung Administration & Nutzung (Windows)
– Edit...

Zwei mal abschließen …
➔ htaccess-Passwort-Sicherung des Logins
(nur wp-login.php!)
– Initiative WordPress-Si...

Kinder & Brunnen
➔ Backups!
– FTP & MySQL-Datenbank
– SQL-Backup per Plugin: WP DB Backup
– Oder direk...

Monitoring
➔ Vorteil: Schnellere Reaktionszeit
➔ Alle Änderungen werden per Mail gemeldet
– WordPress File Monit...

Theme & Plugin-Devs
➔ Vertraue NIEMALS einer Usereingabe!

● Maskieren (escapen) je nach Kontext gegen Cross Site
...

Theme & Plugin-Devs
➔ Schutz vor SQL-Injection
➔ esc_sql
➔ $wpdb->prepare() / insert() / update() / select()...

Informiere dich!
➔ Sicherheits-Blogs abonnieren
– http://blog.sucuri.net/category/wordpress
– http://googleo...

Online Malware Scanner
➔ http://sitecheck.sucuri.net/scanner/
➔ http://safeweb.norton.com/
➔ http://www.unmaskparasi...

Themes prüfen
➔ http://wordpress.org/extend/plugins/tac/
➔ http://wordpress.org/extend/plugins/exploit-scanner/
➔ ht...

Plugins prüfen
➔ http://wordpress.org/extend/plugins/log-deprecated-notices/
➔ http://wordpress.org/extend/plugins/dep...

Sicherheits-Plugins für den Ernstfall
➔ http://wpantivirus.com/
➔ http://wordpress.org/extend/plugins/wp-security-scan...

Danke!

Vielen Dank an die XING-WordPress-Gruppe!

Vielen Dank an das WordPress-Meetup Hamburg!

Fragen?
➔ Zeit ist knapp, daher gerne auch später auf dem Camp
oder online:
➔ http://torstenlandsiedel.de/kont...

Slideshare teilen

LinkedIn
Facebook
Twitter

Einbetten

Größe (px)

Ähnliche Slideshows am Ende anzeigen

WordPress-Shortcode

Link

Teilen
E-Mail

Reseña de mapas by Beeto_Ojeda 165 views
webinale2011_Daniel Höpfner_Förderp... by smueller_sandsmedia 899 views
Análisis espectral usando MATLAB by Marcelofrm 609 views
Umweltschutz in der schule georg & ... by mxgiosi 555 views
Rendershots by samgh1995 385 views
Boletín grupo colina by Samuel Calderon S... 1722 views

Auf Slideshare anzeigen

1 von 44 Anzeige

Auf Slideshare anzeigen

1 von 44 Anzeige