Ein Viertel der am häufigsten genutzten Content-Management-Systeme (CMS) setzten ab Werk auf veraltete und inzwischen als unsicher eingestufte Hashfunktionen wie MD5, um Passwörter von Nutzern zu schützen. Dazu gehören WordPress, osCommerce, SuiteCRM, Simple Machines Forum, miniBB, MyBB, SugarCRM, CMS Made Simple, Phorum, Observium, X3cms und Composr.
Hashing wird in der Regel benutzt, um Passwörter von Nutzern nicht im Klartext speichern zu müssen. Der Betreiber einer Website oder eines Forums hinterlegt in seinem System also nicht das eigentliche Kennwort des Nutzers, sondern eine daraus generierte zufällige Zeichenfolge. Diese Zeichenfolge basiert auf Algorithmen beziehungsweise kryptografischen Funktionen wie MD5, SHA1, SHA512, Bcrypt oder PBKDF2.
Allerdings werden nicht mehr alle gebräuchlichen Algorithmen als sicher angesehen. Dazu zählen MD5 und SHA1. Sie werden inzwischen durch neuere und komplexere Systeme wie Bcrypt, Scrypt und Argon2 abgelöst.
Der Studie zufolge setzen jedoch fast 60 Prozent der getesteten CMS weiter auf schwache Hashing-Funktionen oder solche, die dank spezieller Hardware für Parallel Computing für Passwort-Angriffe anfällig sind. Bei 40,82 Prozent war indes eine sichere Funktion voreingestellt, und zwar bei allen Bcrypt. Als Beispiele nannte die Studie Joomla, phpBB, Vanilla Forums, vBulletin und SilverStripe.
Das ebenfalls als sicher geltende Scrypt wird nach Ansicht der Forscher nicht eingesetzt, weil es dafür keine native PHP-Bibliothek gibt. Die meisten CMS-Projekte, die auf PHP basieren, unterstützen Scrypt deswegen nicht. Argon2 wiederum ist erst seit Version 7.2 in PHP enthalten. Viele Webserver basieren jedoch noch auf älteren PHP-Versionen inklusive PHP 5.x.
Die Studie deckte außerdem auf, dass 38,78 der getesteten CMS auf eine Mindestpasswortlänge verzichten. So akzeptiert WordPress und auch Drupal in der Vorsteinstellung einzelne Zeichen als Passwörter. Auch das Salting, das die Sicherheit gehashter Passwörter verbessert, ist kein Standard und kam nur bei rund 85 Prozent der CMS zum Einsatz.
Ceyoniq beleutet in diesem Whitepaper anhand von sechs Thesen die wichtigsten Aspekte zum Thema und gibt Tipps für eine erfolgreiche Migrationsstrategie.
Neuer Datendurchsatz-Rekord an Europas größtem Internetknoten parallel zum Champions-League-Viertelfinale.
Die neuen Chips bieten bis zu 25 Prozent mehr Leistung. Samsung steigert auch die Energieeffizienz…
Betroffen sind Lösungen von Cisco, Fortinet, SonicWall und anderen Anbietern. Die Hacker nehmen Konten mit…
Immer häufiger müssen sich Betriebe gegen Online-Gefahren wehren. Vor allem in KMUs werden oft noch…
Darunter ist ein weiterer Sandbox-Escape. Angreifer können unter Umständen aus der Ferne Schadcode einschleusen und…
Sie steigt auf 8 Prozent Wachstum in diesem Jahr. Der Bereich IT-Services wächst in diesem…