Einschätzung Sicherheitsrisiko durch Wordpress auf DS

[Polarlys]

Liebes Forum,
aktuell besitze ich im Haushalt 2 DS, eine 214play, auf welcher sich sämtliche Multimedia-Inhalte befinden (Videos, Fotos, Musik, TV-Aufzeichnungen...), sowie eine 415play, welche als Backupmedium für alle Computer im Haushalt und die 214play dient. Weiterhin sind dort alle persönlichen Dokumente gespeichert. Nur die 214play hängt derzeit über DDNS am Internet und bietet z.B. einen Kalender- und Kontakteserver, Audio- und Photostation. Weiterhin ist ein VPN-Zugang zur 214play eingerichtet.

Nun möchte ich gerne eine kleine Homepage basteln, primär für Freunde und Verwandte, um Fotos, Videos und Reiseberichte zu teilen. Ich habe mir dafür eine Wordpress-Installation auf der DS214play überlegt.
Doch wie sind die Sicherheitsbedenken dabei? Was kann man tun, um Wordpress auf der DS so sicher wie möglich zu gestalten (von starken Passwörtern mal abgesehen...). Ist es möglich Wordpress nur lokal laufen zu lassen und somit nur den Besuchern, die sich über VPN auf die DS einloggen die Website zur Verfügung zu stellen (also ohne Port 80 zu öffnen)?
Ich habe mal testweise Wordpress auf einem RasPi installiert (läuft halt langsam...). Wäre es für das Netzwerk sicherer, einfach Wordpress auf dem RasPi laufen zu lassen und den Port 80 dorthin weiterzuleiten, als Wordpress auf der DS zu nutzen? Besteht Gefahr für meine persönlichen Daten auf der 415play, falls es einem Hacker gelingt, sich auf den RasPi oder die 214play zu hacken (auf die 415play existieren im Router keine Portweiterleitungen)?

Viele Fragen, aber ich möchte mich lieber vorher informieren, als hinterher dumm zu gucken...

Danke für Eure Antworten!
Polarlys

 

[Frogman]

Port 80 verbietet sich bereits, wenn Du denn sicher Deine starken Passworte eingeben willst - also nur zwangsläufig https über Port 443 verwenden. Mit VPN ist das dann eher schwierig - damit beraubst Du Wordpress ja seine Zugänglichkeit für einen größeren Benutzerkreis bzw. sogar seinen öffentlichen Charakter.
In Wordpress tauchen immer mal wieder - wie auch in anderen Content-Systemen wie Joomla oder Drupal - Lücken auf, die Mißbrauch ermöglichen. Dagegen hilft nur, regelmäßig die Backups einzuspielen und nach Möglichkeit mit zusätzlichen Paketen sparsam umzugehen. Plugins oder auch Skins können Lücken reißen - gerade "coole" Skins werden hier aus zwielichtigen Quellen gerne als Türöffner verwendet.

Welcher Schaden entstehen kann, wenn jemand eine Lücke ausnutzt, ist allgemein nicht zu sagen - zu sehr hängt es von der Lücke selbst ab, dem Können des Angreifers und auch den Gegebenheiten des Servers. Letztlich bleibt nur eine Aussage: einen Server, den Du extern verfügbar machst, kann auch kompromittiert werden. Es empfiehlt sich daher immer, wenn andere Geräte zur Verfügung stehen, Dienste auf separaten Geräten laufen zu lassen und die eigenen Daten davon zu trennen.

 

[Polarlys]

Vielen Dank für Deine Einschätzung. Ich werde dann doch den WordPress-Server auf einem Raspberry Pi laufen lassen, der sonst für nichts genutzt wird. Mit den entsprechenden Anleitungen im Netz kann man das kleine Ding ja doch ganz gut absichern. Unterm Strich dürfte das noch die sicherste Variante sein.

 

[Frogman]

Da stimme ich Dir zu, ja.

 

[Tommes]

Da stimme ich auch zu!

Jedoch wirst du bei deinen Recherchen im Internet sehr schnell feststellen, das es zwar 1000'e Anleitungen gibt, wie man einen Raspberry Pi mit den tollsten Dingen betreiben kann, nicht jedoch wie man diesen absichert. Da wird das Eis dann schnell dünn. Aber es geht. Und ich möchte mal behaupten... ziemlich gut sogar. Man muß nur wissen wie und an welchen Schrauben man drehen muß.

Tommes