Guymon

Secure WordPress Installation

Es gibt zwar schon eine Menge Beiträge wie man die Sicherheit von WordPress erhöhen kann, aber 20 Steps to a Flexible and Secure WordPress Installation fand ich trotzdem lesenswert.

Dort gibt es eine Reihe Tipps die nicht nur für WordPress gültig sind. Insbesondere die .htaccess Einträge lassen sich (mit kleinen Anpassungen) auch allgemein anwenden.

Z.B.

# ESSENTIALS
ServerSignature Off
Options All -Indexes
Options +FollowSymLinks
# Suppress PHP errors (note that this might not work on all hosts):
php_flag display_startup_errors off
php_flag display_errors off
php_flag html_errors off
php_value docref_root 0
php_value docref_ext 0
# Secure the wp-config.php file:
<Files wp-config.php>
 Order Deny,Allow
 Deny from all
</Files>

Und die .htaccess “Firewall” Perishable Press’ 4G Blacklist .

Sicherheitslücke beim Autocomplete in Browser

Immer das gleiche bequem oder sicher, beides scheint nicht zu klappen:

Wer seinen Browser gestattet, häufig wiederkehrende Angaben in Formularen, etwa Namen oder Mailadresse, automatisch auszufüllen, ist unter Umständen ein leichtes Ziel für Datendiebe. (…) Auf diesem Wege gelangt man auch an Daten, welche die Auto-Completion des Browsers nur in die dazugehörige Webseite einträgt — etwa Login-Informationen. Das demonstriert bereits der Artikel Passwortklau für Dummies auf heise Security.

via heise

Password Strength Checker

Das Windows Tool Thor’s Godly Privacy (TGP) schätzt die Zeit für eine erfolgreiche brute-force Attacke auf ein gegebenes Passwort.

The calculation is based on a Class F attack with a throughput of 1 billion passwords per second and a key space of 96 that contains all lower and upper case letters as well as all numbers and special characters, brackets etc (961 + 962 + 963 + 964 + …). However, TGP not only returns the time required for trying out the entire key space, it also gives an estimated time for the specific password in question; 10 × the letter A differs considerably from 10 tildes.

Eine online Variante gibt es hier.

via h-security

HTTPS Everywhere

Das Tor Projekt und die Electronic Frontier Foundation haben gemeinsam das Firefox Plugin HTTPS Everywhere entwickelt:

Many sites on the web offer some limited support for encryption over HTTPS, but make it difficult to use. For instance, they may default to unencrypted HTTP, or fill encrypted pages with links that go back to the unencrypted site.

The HTTPS Everywhere extension fixes these problems by rewriting all requests to these sites to HTTPS.

Erfolgreicher Angriff auf Quantenkryptographie

Quantenkryptographie ist zwar noch nicht für den Massenmarkt verfügbar, aber die mathematisch beweisbare Abhörsicherheit macht das Gebiet spannend. Forschern ist es nun gelungen eine Implementierung erfolgreich anzugreifen.

Die Idee der kanadischen Hacker beruht im Wesentlichen darauf, dass die Information beim BB84-Protokoll in polarisierten Photonen kodiert ist. Die hatten sie so geschickt abgefangen, dass die Fehlerrate knapp unter 20 Prozent blieb, sodass Sender und Empfänger keinen Verdacht schöpfen. Einzelheiten verraten die Forscher in einem Aufsatz, den sie jetzt auf dem Physik-Server von ArXiv.org veröffentlicht haben.