WP Cerber Security 8.8.3

English version: WP Cerber Security 8.8.3

Neue Anmeldesicherheitsfunktionen

Die standardmäßige WordPress-Benutzerauthentifizierung über die wp-login.php deaktivieren und diese als Honeypot verwenden

Wenn WP Cerber aktiviert ist, verhindert es jegliche Benutzerauthentifizierung, selbst bei korrekten Benutzernamen und Passwörtern. Nach einem Anmeldeversuch zeigt WP Cerber die standardmäßige Fehlermeldung „Falsches Passwort“ an und ahmt damit den üblichen Authentifizierungsprozess nach. WP Cerber nutzt nun wp-login.php als Honeypot zur Erkennung langsamer Brute-Force-Angriffe. In den Plugin-Logs werden solche Ereignisse als „Anmeldeversuch verweigert. Verbotene URL.“ protokolliert. Diese Funktion ersetzt und erweitert die alte Funktion „Direkten Zugriff auf wp-login.php blockieren und HTTP-404-Fehler zurückgeben“. Weitere Informationen .

WP Cerber denies attempts to log in via wp-login.php and logs such events with the Forbidden URL label.

Deaktivierung der WordPress-Anmeldehinweise in der Anmeldefehlermeldung

Wenn diese Funktion aktiviert ist, werden beim Anmeldeversuch mit nicht existierenden Benutzernamen und E-Mail-Adressen keine ungültigen Anmeldedaten angezeigt. Dies hilft, zu verhindern, dass Angreifer gültige Benutzernamen erraten.

Deaktivierung der WordPress-Hinweise in der Fehlermeldung zum Zurücksetzen des Passworts

Wenn diese Funktion aktiviert ist, werden ungültige Benutzernamen und E-Mail-Adressen beim Zurücksetzen von Passwörtern für nicht existierende Konten nicht in der Fehlermeldung angezeigt. Dies verhindert, dass Angreifer gültige Benutzernamen erraten. Erfordert WordPress 5.5 oder neuer.

Verhindern, dass Hacker Benutzernamen herausfinden

Neue Funktionen verhindern, dass Angreifer Benutzernamen mithilfe des oEmbed-Protokolls und der in WordPress 5.5 eingeführten XML-Sitemaps ermitteln. Die neuen Einstellungen befinden sich auf der Registerkarte „Härtung“.

Diverse Verbesserungen an den WP Cerber-Administrationsseiten

• Aktualisierung der Hauptseite des WP Cerber-Dashboards. Benutzer- und Schadsoftwareaktivitäten werden nun in zwei separaten Bereichen angezeigt.
• Die Navigation durch die WP Cerber-Adminseiten wird durch das oben platzierte Admin-Menü deutlich komfortabler. Beim Öffnen einer beliebigen WP Cerber-Adminseite erscheint das WP Cerber-Admin-Menü oben in der WordPress-Admin-Seitenleiste. Beim Verlassen der Seite wird das Menü wieder an seiner Standardposition angezeigt. Diese neue Einstellung finden Sie auf der Hauptseite „Einstellungen“.
• Ein neuer Schnelllink „Anmeldeprobleme“ im Dashboard ermöglicht die Anzeige aller Anmeldeprobleme, wie z. B. fehlgeschlagene Anmeldeversuche, abgelehnte Anmeldeversuche, Versuche zum Zurücksetzen von Passwörtern usw.

Verschiedene Verbesserungen und Optimierungen

• Die Anzahl der Fehlalarme wurde reduziert, als der Malware-Scanner Anweisungen mit externen IP-Adressen in .htaccess-Dateien überprüfte.
• Die Größe der von der Integritätsprüfung und dem Malware-Scanner verwendeten Datenbanktabellen wurde reduziert.
• Verbesserte E-Mails zur Zwei-Faktor-Authentifizierung (2FA) : Der Text der Bestätigungs-E-Mail wurde aktualisiert und kann nun übersetzt werden. Die Betreffzeile enthält den Namen der Website.
• Es wurde eine streng sichere Methode zur Nutzung der PHP-Funktion `unserialize()` implementiert, die dafür bekannt ist, zum Einschleusen und Ausführen von Schadcode missbraucht zu werden. Die Methode ist mit PHP 7.0 und neueren Versionen kompatibel.
• Es wurde eine alternative Methode zur Ausführung von WP Cerber-Wartungsaufgaben implementiert, falls die geplanten WordPress-Aufgaben nicht ordnungsgemäß konfiguriert sind oder nicht gestartet werden konnten.
• Mehrere PHP-Dateien von WP Cerber wurden umbenannt. Im Plugin-Ordner finden Sie nun einige verwaiste Dateien. Diese müssen während des Integritätschecks des Plugins auf der Scannerseite sicher gelöscht werden. Der Scanner zeigt sie als „Unbeaufsichtigte verdächtige Datei“ an.

Fehlerbehebungen

• Behobener Fehler: Die PINs für die Zwei-Faktor-Authentifizierung (2FA) werden auf den Benutzerbearbeitungsseiten im WordPress-Dashboard nicht angezeigt.
• Behobener Fehler: Das Ereignis „API-Anfrageautorisierung fehlgeschlagen“ wurde als „Anmeldung fehlgeschlagen“ protokolliert.