Inhoudsopgave van: Raden van namen via wp-login.php tegengaan
Categorie: Veiligheid | Tags: beveiliging, bruteforce, login, raden, username
Goed nieuws! Vanaf nu (14 juli 2016 red.) hebben we de meldingen die je ziet bij het inloggen aangepast. Het is daarmee niet meer mogelijk om via een normale login poging (door het invullen van gebruikersnaam en wachtwoord) een gebruikersnaam te raden.
Uiteraard had je al de plugin Limit login attempts in gebruik, die blokkeert pogingen om in te loggen na een paar foute inlogs, zodat het lastiger wordt om binnen hele korte tijd wachtwoorden te raden en in te tikken. En daarnaast ben je bij ons ook verzekerd van onze 2 factor login. Zelfs als iemand je gebruikersnaam en wachtwoord weet moet die persoon (of geinfecteerde computer) het token hebben.
Hoe werkt het?
We nemen een werkend voorbeeld van http://blogs.mathworks.com/ , de mensen achter Matlab. We bezoeken het blog van schrijfster Loren op http://blogs.mathworks.com/loren/ en vervolgens gaan we naar http://blogs.mathworks.com/wp-login.php
Vervolgens proberen we of 'loren' en bestaande inlognaam is, we vullen 'loren' in als gebruikersnaam en 'test' als wachtwoord. Laten we hopen dat die ons niet meteen laat inloggen in de wp-admin ..
Na het klikken op Log in zien we de volgende melding:
Oftewel, loren is een correcte login naam 🙂 Nu was dat in dit geval niet extreem lastig, maar je zou een hele lijst van veelgebruikte gebruikersnamen kunnen proberen. Dat we het wachtwoord nu niet weten is niet erg, dat is iets voor een stukje cybercrime of social engineering. Daar gaan we hier niet op in.
Hoe werkt het bij ManagedWPHosting.nl
Wij hebben een kleine wijziging in de tekst die je ziet. Ik laat het hierbij zien op een testdomein.
Eerst maken we een nieuwe WordPress gebruiker aan, met naam 'tester' en een mooi aangemaakt wachtwoord.
Vervolgens loggen we uit en gaan we naar de login pagina. Hier gaan we kijken of we kunnen zien of 'tester' een juiste loginnaam is, net zoals we dat net bij Loren deden.
We klikken op Log in en voila! -> geen enkele bevestiging dat 'tester' een bestaande gebruikersnaam is. Dat zet een aanvaller op een verkeerd spoor.
Ik wil ook een betere beveiliging in mijn inloggen!
Allereerst: Goed dat je je inloggen wil beschermen. Ben je al klant bij ons, dan hoef je niets te doen, het staat al op je site, inclusief onze 2 factor login en checks of je gebruikersnaam wel sterk is.
Nog geen klant? Haast je dan naar onze WordPress hostingpakketten en richt je op core business, dan doen wij de rest.
Als je dit artikel leuk vond, dan moet je deze speciaal geselecteerde artikelen ook lezen!