De veiligheid van je WordPress site (2) – Je werkstation

In het vorige artikel heb ik je enkele tips gegeven met betrekking tot de punten waar je op moet letten om een veilige WordPress omgeving op je server te hebben. Natuurlijk zijn er veel meer punten van belang en in de toekomst zal ik daar zeker op ingaan. Maar zoals het spreekwoord zegt: Een ketting is net zo sterk als de zwakste schakel… dus nu wil ik me concentreren op datgene wat bij de meeste mensen de zwakste schakel is… het werkstation.

Voor de duidelijkheid, je ‘werkstation’ is niets anders dan de PC, de laptop, het tablet of de telefoon waarmee je inlogt op je website. En met de veiligheid -en erger nog, het besef met betrekking tot de veiligheid hieromheen- is het droevig gesteld, als ik hoor hoe vaak kennissen en bekenden zeggen last te hebben van een computer-virus. Terwijl juist dit gevaar al meer dan 20 jaar het grootste probleem met computers is. Het allerbelangrijkste punt dus: Zorg dat je een goede virusscanner hebt en dat deze regelmatig wordt geupdate! En kom alsjeblieft niet aan met een onzinverhaal, dat jij vindt, dat jij niet hoeft te betalen, voor iets wat gratis onderdeel van een Operating System zou moeten zijn: Er zijn ook gratis goede virusscanners. Zoek maar eens op Google voor Clamwin en Clam Sentinel. Dit is gratis antivirus software voor Windows, die niet onderdoet voor de commerciele broeders.

Log ook nooit in op je WordPress site (of welke andere belangrijke site dan ook) vanaf een publieke werkplek: computers in bibliotheken, hotels etc. die als ‘service’ voor de klanten geplaatst worden, zijn per definitie een beveiligingsrisico.

Maar het meest ernstige probleem is wel jouw wachtwoord. Computergebruikers kun je ruwweg in drie categorieen onderverdelen: De lieverds, slimmerikken met een dwangpsychose en (de kleinste groep) de verantwoorde gebruiker.

De lieverds zijn vol van hun kinderen, partner, hond, of goudvis en gebruiken de namen van hun lievelingen dan ook te pas en te onpas… als wachtwoord. Met een lijst met de meest-voorkomende namen is het voor een potentiele hacker niet echt moeilijk jouw wachtwoord te raden.

De slimmerikken met dwangpsychose zijn -zoals de naam al doet vermoeden- wat slimmer. Ze hebben een prachtig wachtwoord als ‘4$YiT8p’ of ‘pR4cHt1g’ bedacht. Goed zo jongens (M/V), je maakt alleen een grote fout, wanneer je dit pR4cHt1g3 wachtwoord te pas en te onpas op alle systemen gaat gebruiken. Jij weet namelijk niet, of het systeem waar jij je wachtwoord ingeeft veilig is. Worden je wachtwoorden gecodeerd opgeslagen? En als dat zo is, hoe sterk is de methode die gebruikt wordt om je wachtwoord te coderen? Zodra zo’n systeem wordt gehackt of -erger nog- de webmaster zelf onbetrouwbaar blijkt- kunnen jouw inloggegevens gebruikt worden om toegang te krijgen tot andere systemen, waar jij gebruiker bent.

De laatste categorie pakt het allemaal wat slimmer aan. Ze hebben een ’tooltje’ waarin ze hun wachtwoorden voor individuele sites op kunnen slaan en waarmee ze met een enkele druk op de knop het juiste wachtwoord voor de juiste site kunnen gebruiken. Zelf maak ik op Ubuntu gebruik van een zogenaamde ‘keyring’ : Mijn wachtwoorden zijn opgeslagen in een programma waar ik met een ‘master password’ toegang krijg. Krijg ik vervolgens een inlogscherm van een willekeurige applicatie kan ik kiezen welke username/password combinatie ik wil gebruiken om in te loggen… Het nadeel is natuurlijk wel, dat dit uitsluitend werkt vanaf je eigen werkstation… maar met de populariteit van alle laptops, tablets en andere draagbare computers, heeft tegenwoordig toch bijna iedereen zijn computer bij zich… of niet soms?

En daarmee komen we direct bij het volgende -en voorlopig laatste- punt: Computers zijn steeds eenvoudiger te stelen. Wanneer je bedrijfsgevoelige gegevens op je (draagbare) computer hebt, moet je beslist niet vertrouwen op de veiligheid van het besturingssysteem: Op het moment dat ik toegang het het BIOS van een computer heb, is iedere computer zonder veel moeite te ‘kraken’. Gebruik schijf-encryptie, tenminste voor je ‘home’ folder. Sinds enkele jaren is dit (gelukkig) een standaard optie bij installatie voor de meeste Linux versies en voor Windows zijn er ook allerlei programma’s beschikbaar om bepaalde folders op je PC te coderen. Persoonlijk zou ik je TrueCrypt aan willen raden: het is goed, veilig en gratis. Een nadeel van TrueCrypt is wel, dat de installatie voor een doorsnee gebruiker vrij moeilijk is, maar wat je niet zelf kunt, kun je altijd nog voor een paar tientjes laten doen. (En om de verzoeken voor te zijn: Nee, ik bied die service niet aan).

Wanneer je bovengenoemde tips ter harte neemt en er ook werkelijk iets mee doet, hoeft jouw werkstation niet meer de zwakste schakel in je beveiliging te zijn.