ডিজিটাল স্বাক্ষর দ্বারা আপডেট চেক করার জন্য সমর্থন সহ ওয়ার্ডপ্রেস 5.2 রিলিজ

জমাদানকারী ওয়েব কন্টেন্ট ম্যানেজমেন্ট সিস্টেম রিলিজ ওয়ার্ডপ্রেস 5.2. মুক্তি তার সমাপ্তির জন্য উল্লেখযোগ্য ছয় বছরের মহাকাব্য বাস্তবায়নের উপর সুযোগ একটি ডিজিটাল স্বাক্ষর ব্যবহার করে আপডেট এবং সংযোজন পরীক্ষা করা হচ্ছে।

এখন অবধি, ওয়ার্ডপ্রেসে আপডেটগুলি ইনস্টল করার সময়, প্রধান সুরক্ষা ফ্যাক্টর ছিল ওয়ার্ডপ্রেস অবকাঠামো এবং সার্ভারগুলিতে বিশ্বাস (ডাউনলোড করার পরে, উত্স যাচাই না করেই হ্যাশটি পরীক্ষা করা হয়েছিল)। যদি প্রকল্পের সার্ভারগুলি আপোস করা হয়, আক্রমণকারীরা একটি আপডেটকে ফাঁকি দিতে এবং একটি স্বয়ংক্রিয় আপডেট ইনস্টলেশন সিস্টেম ব্যবহার করে এমন ওয়ার্ডপ্রেস-ভিত্তিক সাইটগুলির মধ্যে দূষিত কোড বিতরণ করতে সক্ষম হয়েছিল। পূর্বে ব্যবহৃত ট্রাস্ট ডেলিভারি মডেল অনুসারে, এই ধরনের প্রতিস্থাপন ব্যবহারকারীদের দিকে অলক্ষিত হয়ে যেত।

বিষয়টি আমলে নিয়ে ড উপাত্ত w3techs প্রজেক্টের, ওয়ার্ডপ্রেস প্ল্যাটফর্মটি নেটওয়ার্কের 33.8% সাইটে ব্যবহৃত হয়, ঘটনাটি একটি বিপর্যয়ের স্কেলে নেওয়া হত। একই সময়ে, অবকাঠামোগত সমঝোতার বিপদ অনুমানমূলক নয়, কিন্তু বেশ বাস্তব ছিল। যেমন কয়েক বছর আগে নিরাপত্তা গবেষকদের একজন ড প্রদর্শিত একটি দুর্বলতা যা একজন আক্রমণকারীকে api.wordpress.org এর সার্ভার সাইডে তার কোড কার্যকর করতে দেয়।

ডিজিটাল স্বাক্ষরের ক্ষেত্রে, আপডেট ডিস্ট্রিবিউশন সার্ভারের উপর নিয়ন্ত্রণ অর্জন ব্যবহারকারী সিস্টেমের সাথে আপস করবে না, যেহেতু আক্রমণ চালানোর জন্য, আপনাকে অতিরিক্তভাবে একটি পৃথকভাবে সঞ্চিত ব্যক্তিগত কী পেতে হবে, যার সাথে আপডেটগুলি স্বাক্ষরিত হয়।

একটি ডিজিটাল স্বাক্ষর ব্যবহার করে আপডেটের উত্স পরীক্ষা করার বাস্তবায়ন এই সত্য দ্বারা বাধাগ্রস্ত হয়েছিল যে প্রয়োজনীয় ক্রিপ্টোগ্রাফিক অ্যালগরিদমগুলির জন্য সমর্থন তুলনামূলকভাবে সম্প্রতি স্ট্যান্ডার্ড PHP প্যাকেজে উপস্থিত হয়েছিল। লাইব্রেরির একীকরণের জন্য প্রয়োজনীয় ক্রিপ্টোগ্রাফিক অ্যালগরিদম উপস্থিত হয়েছে লিবসোডিয়াম মূল দলের কাছে পিএইচপি 7.2. কিন্তু ওয়ার্ডপ্রেসে পিএইচপির ন্যূনতম সমর্থিত সংস্করণ হিসেবে ঘোষিত রিলিজ 5.2.4 (ওয়ার্ডপ্রেস 5.2 - 5.6.20 থেকে)। ডিজিটাল স্বাক্ষরের জন্য সমর্থন সক্ষম করার ফলে PHP-এর ন্যূনতম সমর্থিত সংস্করণের প্রয়োজনীয়তা বা একটি বাহ্যিক নির্ভরতা যোগ করার প্রয়োজনীয়তা উল্লেখযোগ্যভাবে বৃদ্ধি পাবে, যা হোস্টিং সিস্টেমে PHP সংস্করণের প্রসারের কারণে বিকাশকারীরা করতে পারেনি।

সমাধান ছিল বিকাশ এবং ওয়ার্ডপ্রেস 5.2-এ লিবসোডিয়ামের একটি কমপ্যাক্ট সংস্করণ অন্তর্ভুক্ত করা হয়েছে - সোডিয়াম কম্প্যাট, যেখানে ডিজিটাল স্বাক্ষর যাচাই করার জন্য একটি ন্যূনতম সেট অ্যালগরিদম পিএইচপি-তে প্রয়োগ করা হয়। বাস্তবায়ন কর্মক্ষমতা পরিপ্রেক্ষিতে পছন্দসই অনেক ছেড়ে, কিন্তু সম্পূর্ণরূপে সামঞ্জস্য সমস্যা সমাধান, এবং এছাড়াও প্লাগইন ডেভেলপারদের আধুনিক ক্রিপ্টোগ্রাফিক অ্যালগরিদম বাস্তবায়ন শুরু করার অনুমতি দেয়.

একটি অ্যালগরিদম ডিজিটাল স্বাক্ষর তৈরি করতে ব্যবহৃত হয় এড০০ড্যানিয়েল জে বার্নস্টেইনের অংশগ্রহণে বিকশিত হয়েছে। আপডেট আর্কাইভের বিষয়বস্তু থেকে গণনা করা SHA384 হ্যাশ মানের জন্য একটি ডিজিটাল স্বাক্ষর তৈরি করা হয়। Ed25519-এ ECDSA এবং DSA-এর তুলনায় উচ্চ স্তরের নিরাপত্তা রয়েছে এবং এটি যাচাইকরণ এবং স্বাক্ষর তৈরির খুব উচ্চ গতি প্রদর্শন করে। Ed25519-এর জন্য হ্যাকিং প্রতিরোধ ক্ষমতা প্রায় 2^128 (গড়ে, Ed25519-এ আক্রমণের জন্য 2^140 বিট অপারেশনের প্রয়োজন হবে), যা 256 বিটের মূল আকার সহ NIST P-3000 এবং RSA-এর মতো অ্যালগরিদমের প্রতিরোধের সাথে মিলে যায়। বা 128-বিট ব্লক সাইফার। Ed25519 হ্যাশ সংঘর্ষের সমস্যাগুলির জন্যও সংবেদনশীল নয় এবং ক্যাশে-টাইমিং আক্রমণ বা পার্শ্ব-চ্যানেল আক্রমণের জন্য সংবেদনশীল নয়।

ওয়ার্ডপ্রেস 5.2 রিলিজে, ডিজিটাল স্বাক্ষর যাচাইকরণ বর্তমানে শুধুমাত্র প্রধান প্ল্যাটফর্ম আপডেটগুলিকে কভার করে এবং ডিফল্টরূপে আপডেটটিকে ব্লক করে না, তবে শুধুমাত্র ব্যবহারকারীকে সমস্যা সম্পর্কে অবহিত করে। সম্পূর্ণ চেক এবং বাইপাসের প্রয়োজনের কারণে অবিলম্বে ডিফল্ট ব্লকিং সক্ষম না করার সিদ্ধান্ত নেওয়া হয়েছিল সম্ভাব্য সমস্যা. ভবিষ্যতে, থিম এবং প্লাগইনগুলির ইনস্টলেশনের উত্স যাচাই করতে ডিজিটাল স্বাক্ষর যাচাইকরণ যুক্ত করার পরিকল্পনা করা হয়েছে (উৎপাদকরা তাদের কী দিয়ে রিলিজগুলিতে স্বাক্ষর করতে সক্ষম হবে)।

ওয়ার্ডপ্রেস 5.2-এ ডিজিটাল স্বাক্ষরের জন্য সমর্থন ছাড়াও, নিম্নলিখিত পরিবর্তনগুলি লক্ষ্য করা যেতে পারে:

• সাধারণ কনফিগারেশন সমস্যা ডিবাগ করার জন্য "সাইট হেলথ" বিভাগে দুটি নতুন পৃষ্ঠা যুক্ত করা হয়েছে, এবং একটি ফর্মও দেওয়া হয়েছে যার মাধ্যমে ডেভেলপাররা সাইট অ্যাডমিনিস্ট্রেটরদের ডিবাগিং তথ্য ছেড়ে দিতে পারে;
• "মৃত্যুর সাদা স্ক্রীন" এর বাস্তবায়ন যুক্ত করা, মারাত্মক সমস্যার ক্ষেত্রে প্রদর্শিত হয় এবং একটি বিশেষ ক্র্যাশ রিকভারি মোডে স্যুইচ করে প্লাগইন বা থিম সম্পর্কিত সমস্যাগুলি স্বাধীনভাবে সমাধান করতে প্রশাসককে সাহায্য করে;
• প্লাগইনগুলির সাথে সামঞ্জস্যতা পরীক্ষা করার জন্য একটি সিস্টেম প্রয়োগ করা হয়েছে, যা স্বয়ংক্রিয়ভাবে বর্তমান কনফিগারেশনে প্লাগইন ব্যবহার করার সম্ভাবনা পরীক্ষা করে, ব্যবহৃত পিএইচপি সংস্করণ বিবেচনা করে। যদি একটি প্লাগইনের কাজ করার জন্য PHP-এর একটি নতুন সংস্করণের প্রয়োজন হয়, তাহলে সিস্টেম স্বয়ংক্রিয়ভাবে এই প্লাগইনের অন্তর্ভুক্তি ব্লক করবে;
• জাভাস্ক্রিপ্ট কোড ব্যবহার করে মডিউল সক্রিয় করার জন্য সমর্থন যোগ করা হয়েছে ওয়েবপ্যাক и হট্টগোল;
• একটি নতুন privacy-policy.php টেমপ্লেট যোগ করা হয়েছে যা আপনাকে গোপনীয়তা নীতি পৃষ্ঠার বিষয়বস্তু কাস্টমাইজ করতে দেয়;
• থিমগুলির জন্য, একটি wp_body_open হুক হ্যান্ডলার যোগ করা হয়েছে, যা আপনাকে বডি ট্যাগের সাথে সাথে কোড সন্নিবেশ করতে দেয়;
• PHP-এর ন্যূনতম সংস্করণের জন্য প্রয়োজনীয়তা 5.6.20 এ উন্নীত করা হয়েছে; প্লাগইন এবং থিমগুলিতে এখন নামস্থান এবং বেনামী ফাংশন ব্যবহার করার ক্ষমতা রয়েছে;
• 13টি নতুন আইকন যোগ করা হয়েছে।

উপরন্তু, আপনি উল্লেখ করতে পারেন সনাক্তকরণ ওয়ার্ডপ্রেস প্লাগইনে গুরুতর দুর্বলতা WP লাইভ চ্যাট (CVE-2019-11185)। দুর্বলতা সার্ভারে নির্বিচারে পিএইচপি কোড চালানোর অনুমতি দেয়। প্লাগইনটি IKEA, Adobe, Huawei, PayPal, Tele27 এবং McDonald's-এর মতো কোম্পানির সাইটগুলি সহ দর্শকদের সাথে একটি ইন্টারেক্টিভ চ্যাট সংগঠিত করতে 2 হাজারেরও বেশি সাইটে ব্যবহার করা হয় (লাইভ চ্যাট প্রায়শই পপ-আপ বিরক্তিকর প্রয়োগ করতে ব্যবহৃত হয় কোম্পানির সাইটগুলিতে চ্যাট অফার সহ কর্মচারীর সাথে চ্যাট)।

সমস্যাটি সার্ভারে ফাইল আপলোড করার জন্য কোডে নিজেকে প্রকাশ করে এবং আপনাকে বৈধ ফাইল প্রকারের চেক বাইপাস করতে এবং সার্ভারে একটি PHP স্ক্রিপ্ট আপলোড করার অনুমতি দেয় এবং তারপরে সরাসরি ওয়েবের মাধ্যমে এটি কার্যকর করতে দেয়। মজার বিষয় হল, গত বছর লাইভ চ্যাটে (CVE-2018-12426) একটি অনুরূপ দুর্বলতা ইতিমধ্যেই চিহ্নিত করা হয়েছিল, যা একটি চিত্রের ছদ্মবেশে PHP কোড লোড করার অনুমতি দেয়, বিষয়বস্তু-প্রকার ক্ষেত্রে একটি ভিন্ন বিষয়বস্তুর ধরন নির্দিষ্ট করে৷ সংশোধনের অংশ হিসাবে, সাদা তালিকা এবং MIME বিষয়বস্তুর প্রকারের জন্য অতিরিক্ত চেক যোগ করা হয়েছে। এটি দেখা যাচ্ছে, এই চেকগুলি ভুলভাবে প্রয়োগ করা হয়েছে এবং সহজেই বাইপাস করা যেতে পারে।

বিশেষ করে, ".php" এক্সটেনশনের সাথে সরাসরি ফাইল আপলোড করা নিষিদ্ধ, কিন্তু ".phtml" এক্সটেনশন, যা অনেক সার্ভারে PHP দোভাষীর সাথে যুক্ত, কালো তালিকায় যোগ করা হয়নি৷ হোয়াইটলিস্ট শুধুমাত্র ছবি আপলোডের অনুমতি দেয়, কিন্তু আপনি একটি ডবল এক্সটেনশন উল্লেখ করে এটিকে বাইপাস করতে পারেন, উদাহরণস্বরূপ, “.gif.phtml”৷ ফাইলের শুরুতে MIME টাইপ চেক বাইপাস করতে, পিএইচপি কোড দিয়ে ট্যাগ খোলার আগে, "GIF89a" লাইনটি নির্দিষ্ট করা যথেষ্ট ছিল।

উত্স: opennet.ru