Aufklarung Playground

Bukan persoalan baru, bukan pula tool baru, cuman karna ini penting, khususnya buat saya pribadi, makanya hal ini saya posting juga. Jadi begini, ‘khan dah sering banget kita dengar ‘tuh kalo makin banyak suatu aplikasi dipakai, maka makin banyak pula makhluk-makhluk yang nantinya akan mengoprek-nya, dan salah satu konsentrasi dari aktivitas ngoprek itu, dalam konteks computer security, adalah discovery bugs terhadap aplikasi tersebut. Nah, wordpress sebagai sebuah weblog tool, adalah yang paling kondang bila dibanding dengan yang sejenis, seperti Nucleus, Movable Type, Joomla, Text Pattern, etc.. Hal itu yang lantas menjadikan wordpress yang paling banyak berhasil ter-discovery-kan celah keamanannya (vulnerability)—sebagai sampel adalah bugs yang ada di wordpess 2.3 yang bisa di attack pake SQL Injection—dibanding aplikasi sejenis di atas—jangan lupa, itu gak berarti di aplikasi sejenis tersebut, sedikit atawa bahkan ga’ ada security bugs-nya lhoo. Tapi juga, gak sedikit yang bilang kalo para developer Wordpress gak terlalu memprioritaskan—untuk tidak mengatakan: gak terlalu peduli, apalagi gak professional—terhadap problem sekuriti di wordpress itu sendiri .

Fortunately, ada pihak ketiga yang peduli akan hal itu, mereka umumnya nongol di blogsecurity.net dan David Kierznowski menjadi salah satu dedengkotnya. Nah, sesuai dengan titel topik ini, blogsecurity.net dah cukup lama merilis beberapa security paper, salah satunya bertitel “How to create a secure Wordpress install”. Dipaper tsb mulai dikupas tentang install Wordpress (jangan salah sangka lhoo, dikupas juga koq wp yg dah ter-install), dengan cara yang *relatif* aman, seperti mengubah default prefix dari Wordpress itu sendiri, yakni prefix “wp_”, lalu diulas juga cara membatasai “hak akses” (privileges) SQL dari akun user pada database, lantas dibahas juga cara *umum* melimit akses via wp plugin dan/atau .htaccess dan .htpasswd. Khusus untuk yang pertama dan terakhir, blogsecurity.net menghidangkan resep yang teramat sangat nikmat bin simpel alias gak ribet ‘tuk mengubah “wp_” prefix tsb dengan menggunakan sebuah plugin bernama “WP Prefix Table Changer”, kemudian plugin laen adalah, ini dah umum juga, “Role Manager”, ‘tuk mengatur hak akses dari user-user diblog secara lebih fleksibel.

Untuk info lebih lanjut silahkan pelototin aja dech langsung di paper-nya dengan cara singgah ke blogsecurity.net .

Blessing in God,
K