Wer sich in punkto Sicherheit auf WordPress-Standard-Einstellungen verläßt, den kann das viele Nerven kosten
Möchte ein Angreifer Zugang, testet er meist, ob er mit dem Standardbenutzernamen „admin“ eindringen kann.
Daß Wordpreß überhaupt so einen Standard-Admin namens „admin“ bei jeder Installation generiert anstatt den Nutzer den Benutzernamen selbst entscheiden zu lassen (auch für den Admin-Nutzer!), das zeigt, wie verantwortungslos die Entwickler von Wordpreß sind.
Und daß ihnen die Sicherheit der Nutzer von WP sonstwo vorbeigeht.
Man kann allerdings den bescheurten Standard-Benutzernamen, der bei jeder Installation von Wordpreß leider vorhanden ist, ändern.
Das ist etwas kompliziert und daher haben wenige Leute Lust dazu.
So geht es:
– Man muß in der Verwaltung („dashboard“, sprich „Däschbohrd“) einen zusätzlichen Benutzer mit Administrator-Rechten anlegen. Dafür einfach einen Phantasienamen nehmen, jedoch nicht „admin“ oder „root“ oder „administrator“ oder sowas.
– Dann ausloggen und mit dem neuen Benutzer anmelden.
– Den alten „admin“-Benutzer löschen (falls schon Inhalte vorhanden, diese einfach auf den neuen Nutzer übertragen, WP fragt beim Löschen danach, was mit bestehenden Inhalten geschehen soll)
Noch sicherer wird es durch folgende Schritte:
– Jetzt noch einen Benutzer anlegen, diesem Autoren-Rechte geben
Daß es überhaupt einen Standardbenutzer „admin“ gibt, zeigt exemplarisch, wieviel Wert die Entwickler von Wordpreß auf Sicherheit legen: Offenbar gar keinen
Alle Beiträge nun nur noch mit dem Benutzer schreiben, der nur Autoren-Rechte hat. WordPress hat leider nämlich die bescheuerte Eigenschaft, daß selbst dann, wenn man die Autorennamen (Benutzernamen) von Verfassern von Beiträgen nicht öffentlich anzeigt, diese im Quelltext erkennbar sind. In jedem Beitrag kann man sie über den Quelltext auslesen.
Daher: Der Administrator-Benutzer wird lediglich für die Administration (Verwaltung) verwandt. Der andere Benutzer mit Autoren-Rechten zum Verfassen von Beiträgen.
Ein Häcker muß nun nicht mehr nur das Paßwort knacken, sondern auch noch den Nutzernamen herausfinden.
Also alle Benutzernamen-Kombinationen durchprobieren UND Paßwort-Kombinationen.
So laufen nun die Angriffe ins Leere. Denn der Angreifer kann nicht mehr einfach den Benutzername „admin“ nehmen und solange mit irgendwelchen Programmen bzw. Häckwerkzeugen probieren bis ein Paßwort herausgefunden wurde.
Trotzdem bleibt insgesamt festzuhalten, daß Wordpreß sehr unsicher ist (z. B. auch die Erweiterungen) und man daher sich überlegen sollte, ob man überhaupt so ein kompliziertes und zugleich noch unsicheres System überhaupt haben will. Wer es aber hat, sollte unbedingt den Benutzer „admin“ löschen!
