Im Rahmen der Absicherung des eigenen CMS-Systems haben wir eine IP-Sperre eingerichtet. Erschreckend dabei war, dass im weiteren Verlauf festgestellt werden musste, dass trotz dieser Sperre immer noch Zugriffe auf das Frontend mit ausgeschlossenen Länder-IPs erfolgten.
Das bedeutet in den Überlegungen auch, dass, wenn unerwünschte Zugriffe auf das öffentlich sichtbare Frontend erfolgen, auch das Backend nicht zu 100% geschützt worden ist.
Bisher haben wir lediglich eine maximale Grenze falsch eingegebener Logindaten gesetzt. Hierbei wird, sollte mehr als x-mal ein nicht korrekter Anmeldeversuch erfolgen diese für eine gewisse Zeit gesperrt. Problem hierbei ist jedoch, dass diese zeitliche Verzögerung auf die IP des Anmeldenden auswirkt. Sollte der “angreifende” Rechner seine IP ändern und an der der IP-Sperre vorbeikommen, können wiederum x Anmeldeversuche erfolgen.
Wir haben also eine noch eine Lücke im System, über die man in das CMS eindringen kann.
Bisher habe ich mich immer gegen die Two-Factor-Authentication gewehrt. Warum so etwas machen, wenn man alleine Zugriff auf das CMS-Backend hat und niemand anderes? Nun ja, die Erkenntnis hat mich eines besseren belehrt.
Folglich ist die Einrichtung einer weiteren Hürde, in der man entweder kleine Bildchen übersetzt, Rechnungen löst oder einen individuellen mehrstelligen und zeitlich gültigen Zahlencode eingibt nötig, um es Angreifern weiter zu erschweren Schindluder mit der Website anzustellen.
Bilderrätsel, mathematische Rechenaufgaben oder diese berühmten alphanumerischen Pflichteingaben können eine Hilfe sein. Im Schwerpunkt dienen diese jedoch zur Spamabwehr (Da haben wir eine andere Lösung gefunden). Die wohl bessere Lösung ist die der Zwei-Faktor-Authentifikation (2FA), wobei entweder eine SMS, eine Mail oder eine App (z.B. Google Authenticator) benötigt wird.
Letzteres Vorgehen ist aus der Hinsicht besser, dass es sich hierbei um einen Systembruch handelt. Schließlich braucht man ja hierfür andere Software oder sogar andere Hardware,
Ich habe mich für das WordPress-Plugin Two-Factor, herausgegeben von WordPress selbst, entschieden. Es wirkt sich nicht groß auf die Performance aus und gleichzeitig ist es leicht und schnell einzurichten. Und — je nach Vorlieben — unterstützt es verschiedene Authentifizierungsmethoden
Two-Factor-Plugin: Eingabebild für die Nutzung des Authentication-Codes aus einer entsprechenden App
Die Aufgaben dieses Plugins, welches nach Eingabe des Nutzernamens und dessen Passwort aufgerufen wird ist, untechnisch erklärt, nichts weiter, als einen generierten (zeitlich beschränkt gültigen) Zahlencode, den man aus einer App oder eMail abschreibt, abzugleichen und bei Übereinstimmung den Zugriff auf den ansonsten Gesperrten Bereich freizugeben.
Da in der Regel Angreifer an diesen Code nicht herankommen, erhöht die Einrichtung dieser Methode die Sicherheit des CMS-Backends.
Auch wen dieses Vorgehen alleine sicherlich nicht 100% Schutz bietet, ist es aktuell ein weitgehend anerkanntes Vorgehen. Im Zusammenspiel mit weiteren Sicherungsmaßnahmen, wie z.B. die eingangs schon angesprochene IP-Sperre, kann sie jedoch eine wirksame Abwehr von Angriffen darstellen.