Cuando hablamos de seguridad de contraseñas, a menudo nos referimos a la seguridad de su contraseña y si los piratas informáticos pueden adivinarla fácilmente. Sin embargo, un aspecto de la seguridad de las contraseñas del que pocas personas hablan es cómo se almacena la contraseña en la base de datos. En WordPress cada contraseña suele ser salado y pasó a través de hashing MD5 antes de que se almacene en la base de datos. Parece estar bien y seguro hasta que descubres que el algoritmo MD5 se sabe que sufre de amplias vulnerabilidades. Según el Instituto de ingeniería de software CMU, MD5 está esencialmente «criptográficamente roto y no es adecuado para su uso posterior».
Entonces, ¿qué puede hacer para mejorar la seguridad de su contraseña de WordPress? La respuesta es usar el algoritmo bycrpt, particularmente con el wp-contraseña-bcrypt enchufar.
cripta se basa en el cifrado Blowfish y es una función adaptativa. Esto significa que, con el tiempo, se puede aumentar el número de iteraciones para que sea más lento, por lo que sigue siendo resistente a los ataques de búsqueda de fuerza bruta, incluso con una potencia de cálculo cada vez mayor.
Afortunadamente, incluso si no es técnicamente competente, puede actualizar fácilmente su sistema de WordPress para reemplazar el hash MD5 con el algoritmo bcrypt.
1. Llegué a wp-password-bcrypt’s página de Github y haga clic en el botón «Clonar o descargar» para descargar el archivo ZIP en su escritorio.
2. Extraiga el archivo zip y abra la carpeta extraída. Todo lo que necesita es el archivo «wp-password-bcrypt.php».
3. Con su programa FTP (o cPanel), conéctese a su servidor de WordPress y cree una carpeta «mu-plugins» debajo de la carpeta «wp-content». Esto también se conoce como la carpeta «Debe usar complementos», y todos los complementos colocados en esta carpeta se activan automáticamente. Si la carpeta «mu-plugins» ya existe, ignore este paso.
4. Cargue el archivo «wp-password-bcrypt.php» en esta carpeta «mu-plugins» y listo.
Lo que hace el complemento «wp-password-bcrypt» es volver a codificar la contraseña usando bcrypt y almacenarla en la base de datos cada vez que un usuario inicia sesión en el sistema. No se requiere configuración, y todo simplemente funciona en segundo plano. También tenga en cuenta que si su sitio tiene muchos usuarios inactivos que no han iniciado sesión durante mucho tiempo, sus contraseñas seguirán utilizando el hash MD5.
Por último, para desinstalar el complemento, todo lo que tiene que hacer es eliminarlo de la carpeta «mu-plugins». No hay consecuencias negativas y todo seguirá funcionando como de costumbre.
Conclusión
Es completamente inútil que los usuarios hagan todo lo posible para protegerse si el sistema es inseguro en primer lugar. Al cambiar al algoritmo bcrypt, puede mejorar rápida y fácilmente la seguridad de su contraseña de WordPress y evitar que su cuenta de usuario sea fácil de descifrar (suponiendo que también estén usando una contraseña segura).
Credito de imagen: Archivo de contraseñas de Linux