Session gehalten am Wordpress Zürich Meetup

1. Sicherheit von
Webanwendungen
am Beispiel von Wordpress
24. Juni 2013 / #wpzh
Thomas Gemperle / @thomasgemperle

2. Security Themes Wordpress
- Limiting Access
- Containment
- Preperation and knowledge
http://codex.wordpress.org/Hardening_WordPress

3. Schwachstellen
1. Webanwendung / CMS
2. Technische Umgebung / Server
3. Mensch / User
copyrightbydigitalgraphixx(CCBY-NC-ND2.0)

4. Schwachstelle Webanwendung
- Sicherheitslücken im CMS, Plugins, Themes
- Gefährliche Features
- Brute Force Attacken
- Distributed BF attacks

5. Webanwendung: Sicherheitslücken
Updates, updates, updates
- Updatefähigkeit erhalten
- Updates durchführen
- Achtung: Kompatibilität Plugins --> Staging
Allgemein: Vorsicht mit Plugins

6. Webanwendung: Sicherheitslücken

7. Webanwendung: Features
- Plugins (phpMyAdmin, ...)
- define('DISALLOW_FILE_EDIT', true);
- File Permissions (auto. Update)
- Plugin policy: Downloads,
Bewertung, Updates

8. Webanwendung: Brute Force
Plugin: Limit Login Attemps

9. Webanwendung: Brute Force
Plugin: Login Security Solution
Plus: Password Policy

10. Webanwendung: Kein Username
admin

11. Webanwendung: Two Factor Auth

12. Webanwendung: Two Factor Auth
https://www.duosecurity.com/
http://wordpress.org/plugins/google-authenticator/

13. Webanwendung: Captcha
http://wordpress.org/plugins/captcha

14. Webanwendung: Prävention
- Backups (z.B. Backup-Plugin)
- Spezielle Security-Plugins (Security Ninja,
BulletProof Security etc.)
- CDNs (CloudFlare etc.)
http://www.wpjedi.com/find-security-vulnerabilities-in-
wordpress/

15. Schwachstelle Server
- Andere Applikationen auf dem selben Server
- FTP-Zugänge
- DDoS etc.

16. Server: Andere Applikationen
- Nur eine WP Installation pro Server
- Keine anderen Applikationen, (=Risiken)
installiert (z.B. Joomla, T3, statische Seiten mit
PHP-Code etc.)

17. Server: FTP
- Kein externer FTP-Zugriff
- Admin: SFTP oder VPN

18. Server: Monitoring
- Vertrauenswürdiger Hoster
- Eigene Monitoring Tools (Pingdom, Plugins?)

19. Schwachstelle Mensch
Passwort-Management
- Schwach
- Aufgeschrieben
- Weitergegeben
Unsichere Umgebung
- WLANs
- Phishing (URLs)
- Malware, Trojaner,
Spyware, Keylogger, ...
copyrightbypawelbak(CCBY-NC-ND2.0)

20. Mensch: Passwort Management
- LastPass
- Bewusstsein / Verhalten

21. Mensch: Benutzer-Accounts
- Limitierter Zugriff
- Passwort check
- Security-Plugin?

22. Mensch: Unsichere Umgebung

23. Mensch: Unsichere Umgebung
SSL
define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);
VPN
LastPass

24. Kontakt
3: http://www.flickr.com/photos/digitalgraphixx/6347678309/
15: http://www.flickr.com/photos/pawelbak/3494459979/
Bilder (Creative Commons)
thomas.gemperle@openbyte.ch
@thomasgemperle
https://www.slideshare.net/thomasgemperle