Cuando hablamos de seguridad de contraseñas, a menudo nos referimos a la solidez de su contraseña y si los piratas informáticos pueden adivinarla fácilmente. Sin embargo, un aspecto de la seguridad de las contraseñas del que pocas personas hablan es cómo se almacena la contraseña en la base de datos. En WordPress, cada contraseña suele ser salado y pasó a través de hash MD5 antes de que se almacene en la base de datos. Parece estar bien y seguro hasta que descubra que el Algoritmo MD5 se sabe que adolece de amplias vulnerabilidades. Según el Instituto de Ingeniería de Software CMU, MD5 es esencialmente «criptográficamente roto e inadecuado para su uso posterior.«
Entonces, ¿qué puede hacer para mejorar la seguridad de su contraseña de WordPress? La respuesta es usar el algoritmo bycrpt, particularmente con el wp-contraseña-bcrypt enchufar.
bcrypt se basa en el cifrado Blowfish y es una función adaptativa. Esto significa que, con el tiempo, el recuento de iteraciones se puede aumentar para hacerlo más lento, por lo que sigue siendo resistente a los ataques de búsqueda de fuerza bruta incluso con un mayor poder de cálculo.
Afortunadamente, incluso si no es técnicamente competente, puede actualizar fácilmente su sistema de WordPress para reemplazar el hash MD5 con el algoritmo bcrypt.
1. Llegué a wp-password-bcrypt’s Página de Github y haga clic en el botón «Clonar o descargar» para descargar el archivo ZIP en su escritorio.
2. Extraiga el archivo zip y abra la carpeta extraída. Todo lo que necesita es el archivo «wp-password-bcrypt.php».
3. Con su programa FTP (o cPanel) conéctese a su servidor de WordPress y cree una carpeta «mu-plugins» en la carpeta «wp-content». Esto también se conoce como la carpeta «Debe usar complementos», y todos los complementos colocados en esta carpeta se activan automáticamente. Si la carpeta «mu-plugins» ya existe, ignore este paso.
4. Sube el archivo «wp-password-bcrypt.php» a esta carpeta «mu-plugins» y listo.
Lo que hace el complemento «wp-password-bcrypt» es volver a aplicar el hash a la contraseña mediante bcrypt y almacenarla en la base de datos cada vez que un usuario inicia sesión en el sistema. No se requiere configuración y todo simplemente funciona en segundo plano. Tenga en cuenta también que si su sitio tiene muchos usuarios inactivos que no han iniciado sesión durante mucho tiempo, sus contraseñas seguirán usando el hash MD5.
Por último, para desinstalar el complemento, todo lo que tiene que hacer es eliminarlo de la carpeta «mu-plugins». No hay consecuencias negativas y todo seguirá funcionando como de costumbre.
Conclusión
Es completamente inútil que los usuarios hagan todo lo posible para protegerse si el sistema es inseguro en primer lugar. Al cambiar al uso del algoritmo bcrypt, puede mejorar rápida y fácilmente la seguridad de su contraseña de WordPress y evitar que su cuenta de usuario sea fácilmente descifrable (suponiendo que también estén usando una contraseña segura).
Credito de imagen: Archivo de contraseña de Linux