I 10 migliori plugin di sicurezza e protezione per WordPress

Zarrelli il martedì, 15 Aprile, 2008

Se la sicurezza del vostro blog vi sta a cuore come la copertina che alberga mattina e sera sul vostro divano, vi consiglio di dare un’occhiata a questa lista di plugin messa a punto da Specky boy.

Si tratta di plugin dedicati alla sicurezza in senso lato, dalla protezione dei dati, agli strumenti contro lo spam, alle login sicure.

Io mi sono limitato a tradurla liberamente. Buona lettura.

1. WordPress Database Backup (http://www.ilfilosofo.com/blog/wp-db-backup/)

URL: http://www.ilfilosofo.com/blog/wp-db-backup/
Description: Questo plugin fa proprio ciò che il nome lascia intendere, esegue il backup dell’intera installazione di WordPress. Dovrebbe essere uno dei primi plugin da installare appena create il vostro blog. Vi consente di eseguire i backup copiandoli sul vostro disco rigido, su un server o anche tramite email. Che si tratti di un plugin riottoso, un hacker (o voi stessi) a far crashare WP, WP Database Backup riporterà tutto a come avrebbe dovuto essere (prima del danno). Mi piace pensare a questo plugin come a un “WP , recupero del sistema.

2. Semisecure Login (http://jamesmallen.net)

URL: http://jamesmallen.net/2007/09/16/semisecure-login/
Description: Semisecure incrementa la sicurezza della componente di Login di WP, utilizzando una crittazione lato client delle password in MD5 (vabbé, MD5 è un hash…). Affinché la criptazione possa venire eseguita è necessario che che il navigatore supporti JavaScript. Quando il supporto JavaScript non è disponibile, la password viene trasmessa in chiaro (come succede normalmente), ma l’autenticazione procede senza alcun ostacolo.

3. AskApache Password Protect (http://www.askapache.com)

URL: http://www.askapache.com/wordpress/htaccess-password-protect.html
Description: Questo plugin renderà più sicuro l’accesso alla console di amministrazione di WP tramite l’utilizzo di htaccess per la gestione delle password, impedendo agli indesiderati bot l’ingresso al vostro sito.

4. Force SSL (http://almosteffortless.com/)

URL: http://almosteffortless.com/wordpress/force-ssl/
Description: Se avete un certificato SSL, il plugin Force SSLFor forzerà le connessioni su HTTPS per garantire una migliore sicurezza. Ciò è utile per coloro che vogliono assicurare un maggiore livello di sicurezza per la veicolazione dei contenuti al navigatore.

5. WP Security Scan (http://wordpress.org/extend/plugins)

URL: http://wordpress.org/extend/plugins/wp-security-scan/
Description: Adoro questo plugin, che scandisce il vostr osito alla ricerca di problemi di sicurezza e controlla password, permessi sui file e messa in sicurezza del database, nascondendo anche la versione di WP e proteggendo/rendendo sicuro l’admin di WP. Mi rende anche un po’ paranoico.

6. Secure Files (http://wordpress.org/extend/plugins)

URL: http://wordpress.org/extend/plugins/secure-files/#post-271
Description: Questo plugin vi consente di caricare e scaricare file al di fuori della document root del vostro sito web, per motivi di sicurezza. Quando viene utilizzato insieme a un plugin che richiede all’utente di essere loggato per poter leggere le pagine del vostro sito, potete limitare i donwload agli utenti loggati.

7. WP-SpamFree (http://www.hybrid6.com/)

URL: http://www.hybrid6.com/webgeek/plugins/wp-spamfree
Description: Ho sentito parlare parecchio di questo plugin prima di provarlo e si dice che sia meglio di Akismet. In tutta onestà, non ho mai notato molta differenza (ho 500 messaggi di spam al giorno, in questo periodo) fra i due. Penso sia solo una questione di scelta dell’utente. Speravo ci fosse invece un modo per fermare gli spammer.

8. BackUpWordPress (http://wordpress.designpraxis.at)

URL: http://wordpress.designpraxis.at/plugins/backupwordpress/
Description: Quasi identico al primo plugin, solo non altrettanto semplice. La lista di funzionalità è lunga ed è indicata per un WP Pro. Alcune funzionalità: backup del database, inclusi i file caricati, i plugin, etc; notifica via email dei nuovi backup; backup lanciabili manualmente, possibilità di pianificare i backup, di eseguire restore, importazioni scaglionate di SQL; prosecuzione in background dei backup non terminati; Supporto lingue. (E questo solo per la modalità Easy, aspettate di vedere quella avanzata).

9. Anonymous WordPress Plugin Updates (http://f00f.de/)

URL: http://f00f.de/blog/2007/10/02/plugin-anonymous-wordpress-plugin-updates.html
Description: Anonimizza il sistema di controllo degli aggiornamenti dei plugin, una nuova funzionalità introdotta in WordPress 2.3. Il plugin impedisce a WordPress di inviare una lista di plugin attivi, l’url del blog e la versione di WordPress. Ideale per gli amministratori consapevoli delle implicazioni relative alla privacy di una installazione WordPress.

10. Replace WP-Version (http://wordpress.org/extend/plugins/)

URL: http://wordpress.org/extend/plugins/replace-wp-version/#post-2859
Description: (Abbiamo tutti letto del problema di sicurezza derivato dal mostrare la propria versione di WP, questo plugin lo risolve). Se state utilizzando una versione più vecchia di WordPress, chiunque può vedere i sorgenti per capire quali attacchi possono funzionare contro il vostro blog. Questo plugin rimpiazza l’informazione relativa alla versione di WP con una stringa casuale per le versioni < 2.4 e la elimina per le versioni > 2.4.

Cold Boot Attacks on Encryption Keys

Zarrelli il venerdì, 22 Febbraio, 2008

Riassunto:
 Contrariamente a ciò che si crede comunemente, le DRAM usate nella maggior parte dei moderni computer, trattengono i propri contenuti per un periodo che va da pochi secondi ad alcuni minuti dopo che è stata tolta l’alimentazione, anche a temperature operative e anche se rimosse dalla scheda madre. Sebbene le DRAM diventino meno affidabili quando non vengano “rinfrescate” (riscritte con il medesimo contenuto, ndr.), queste non vengonono imediatamente cancellate e i loro contenuti persistono per un tempo sufficiente per l’acquisizione malevola (o forense) di immagini utilizzabili dell’intero sistema. Abbiamo mostrato che questo fenomeno limita l’abilità di un sistema operativo di proteggere la chiave crittografica da un aggressore che abba un accesso fisico (al computer, ndt.). Abbiamo usato reboot a freddo (cold reboot, ovvero quando si spegne il computer togliendo la corrente all’improvviso, senza eseguire uno shutdown, ndt.) per imbastire attacchi ai più popolari sistemi di crittazione di dischi – BitLocker, FileVault, dm-crypt, e TrueCrypt – senza usare materiali o periferiche speciali. Abbiamo caratterizzato sperimentalmente l’estensione e la predicibilità di ciò che rimane in memoria e abbiamo riferito che i tempi di permanenza possono venire incrementati in maniera sensibile adottando semplici tecniche. Offriamo nuovi algoritmi per trovare le chiavi crittografiche nelle immagini della memoria e per correggere gli errori causati dal decadimento dei bit. Sebbene discutiamo (nella ricerca in pdf che si trova sul sito, ndt.) di diverse strategia per mitigare questi rischi, non conosciamo alcun rimedio di semplice applicazione che li possa eliminare.

Center for Information Technology Policy – Princeton University

[Via Ministry of Intrigue]

Ancora Vista, non ci posso credere…

Zarrelli il venerdì, 2 Febbraio, 2007

Da Engadget:

Run for the hills, everybody, Windows Vista has been proven vulnerable to the hax0rs mere days after its release — Steve Ballmer should clearly just give up now and resign while he still has a bit of dignity left. Or not. The vulnerability in question is hardly a hack at all, at least of the traditional variety, instead this one relies on you turning up your speakers and leaving your microphone on. See, the new Windows Speech Recognition in Windows Vista has all sorts of new abilities, but unlike Mac OS speech recognition of yore, no keyword is required to make your computer start listening to what you have to say, meaning any stray word could be interpreted as a command by Windows if it has the right tone and is within Vista’s repertoire. Microsoft also hasn’t done anything to ensure speech recognition doesn’t listen to the sounds coming out of your computer via the speakers, all of which means that if you visit a malicious website with the speakers turned up and the mic turned on (and Speech Recognition loaded, of course) an audio file could wake SR, open Windows Explorer, delete the documents folder and then empty the recycle bin. Not exactly the most likely of occurrences, but certain security types are already up in arms, and Microsoft has confirmed the potential problem, but merely recommends users turn of their speakers and/or microphone, along with killing any apps trying to attack them with such verbage. Not the greatest vote of confidence, so perhaps we’ll be seeing a fix for this from Microsoft before too long.

Insomma, per intenderci, basta che uno lasci casse e microfono aperti e che vada su un sito che riproduca un file audio contenente una serie di istruzioni. A questo punto, l’audio uscito dalle casse rientra dal microfono, viene processato come una serie di comandi ed eseguito.

E Microsoft conferma.

Ridicolo.

Falla di sicurezza in WordPress =< 2.0.5

Zarrelli il giovedì, 28 Dicembre, 2006

Riprendo la descrizione data da Securiteam, che si riferisce a un post originale di Michael Daw, traducendola:

Una vulnerabilità nel file templates.php di WordPress consente a un utente con accesso a questo file di inserirvi del codice HTML o javascript arbitrario, che può quindi venire eseguito da altri amministratori.

Ne sono affette tutte le versioni dalla 2.0.5 in giù. Il rimedio è semplice: basta scaricare il seguente archivio, estrarne il file templates.php e utilizzare quest’ultimo per sovrascrivere il file wp-admin/templates.php. Qui trovate la pagina di trac su WordPress.org, dedicata al bug in questione.

Downloading music over the SGAE’s WiFi

Zarrelli il lunedì, 2 Ottobre, 2006

The SGAE (Sociedad General de Autores y Editores, or General Ass. of Authors & Editors), is Spain’s equivalent of the RIAA. I was rather amused by this video, where a couple of members of a TV show attempt and succeed at connecting to the SGAE’s WiFi network (it had no encryption enabled!), and download music – alledgedly pirated. They then add an extra twist by actually walking into the SGAE’s offices and asking to see someone, laptop in hand, saying they have just had an attack of good will and want to turn themselves in…

The audio is in spanish, but you will get the general idea even if you don’t understand the talk. My oppinion is that they shouldn’t have done this, as connecting to WiFi networks without the owner’s permission is illegal in most countries, Spain included – so they have actually provided potential prosecutors a perfect piece of evidence.

[Via tech.am]