Sicherheit von Webanwendungen am Beispiel von Wordpress

1. Sicherheit von
Webanwendungen
am Beispiel von Wordpress
10. März 2013 / #bcruhr6
Thomas Gemperle / @thomasgemperle

2. Security Themes Wordpress
- Limiting Access
- Containment
- Preperation and knowledge
http://codex.wordpress.org/Hardening_WordPress

3. Schwachstellen
copyright by digitalgraphixx (CC BY-NC-ND 2.0)
1. Webanwendung / CMS
2. Technische Umgebung / Server
3. Mensch / User

4. Schwachstelle Webanwendung
- Sicherheitslücken im CMS, Plugins, Themes
- Gefährliche Features
- Brute Force Attacken

5. Webanwendung: Sicherheitslücken
Updates, updates, updates
- Updatefähigkeit erhalten
- Updates durchführen
- Achtung: Kompatibilität Plugins --> Staging
Allgemein: Vorsicht mit Plugins

6. Webanwendung: Sicherheitslücken

7. Webanwendung: Features
- Plugins (phpMyAdmin, ...)
- define('DISALLOW_FILE_EDIT', true);
- File Permissions (auto. Update)
http://codex.wordpress.org/Hardening_WordPress

8. Webanwendung: Brute Force
Plugin: Limit Login Attemps

9. Webanwendung: Kein Username
admin

10. Webanwendung: Prävention
- Backups (z.B. Backup-Plugin)
- Spezielle Security-Plugins (Security Ninja,
BulletProof Security etc.)
http://www.wpjedi.com/find-security-vulnerabilities-in-
wordpress/

11. Schwachstelle Server
- Andere Applikationen auf dem selben Server
- FTP-Zugänge
- DDoS etc.

12. Server: Andere Applikationen
- Nur eine WP Installation pro Server
- Keine anderen Applikationen, (=Risiken)
installiert (z.B. Joomla, T3, statische Seiten mit
PHP-Code etc.)

13. Server: FTP
- Kein externer FTP-Zugriff
- Admin: SFTP oder VPN

14. Server: Monitoring
- Vertrauenswürdiger Hoster
- Eigene Monitoring Tools (Pingdom, Plugins?)

15. Schwachstelle Mensch
Passwort-Management
- Schwach
- Aufgeschrieben
- Weitergegeben
copyright by pawelbak (CC BY-NC-ND 2.0)
Unsichere Umgebung
- WLANs
- Phishing (URLs)
- Malware, Trojaner,
Spyware, Keylogger, ...

16. Mensch: Passwort Management
- LastPass
- Bewusstsein / Verhalten

17. Mensch: Benutzer-Accounts
- Limitierter Zugriff
- Passworte
- Security-Plugin?

18. Mensch: Unsichere Umgebung
SSL
define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);
VPN
LastPass

19. Kontakt
thomas.gemperle@openbyte.ch
@thomasgemperle
https://www.slideshare.net/thomasgemperle
Bilder (Creative Commons)
3: http://www.flickr.com/photos/digitalgraphixx/6347678309/
15: http://www.flickr.com/photos/pawelbak/3494459979/