{"id":33247,"date":"2019-10-31T21:51:34","date_gmt":"2019-10-31T18:51:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi\/"},"modified":"2019-10-31T21:51:34","modified_gmt":"2019-10-31T18:51:34","slug":"reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/news\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","title":{"rendered":"Verze WordPress 5.2 s podporou ov\u011b\u0159ov\u00e1n\u00ed aktualizac\u00ed pomoc\u00ed digit\u00e1ln\u00edho podpisu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

P\u0159edstaven\u00ed<\/a><\/noindex> vyd\u00e1n\u00ed syst\u00e9mu \u0159\u00edzen\u00ed webov\u00e9ho obsahu WordPress 5.2<\/a><\/noindex>. Tento vyd\u00e1n\u00ed je pozoruhodn\u00e9 zakon\u010den\u00edm \u0161estilet\u00e9 epopeje<\/a><\/noindex> na realizaci mo\u017enosti<\/a><\/noindex> kontroly aktualizac\u00ed a dodatk\u016f pomoc\u00ed digit\u00e1ln\u00edho podpisu. <\/p>\n

Dosud bylo p\u0159i instalaci aktualizac\u00ed ve WordPressu kl\u00ed\u010dov\u00fdm faktorem zaji\u0161t\u011bn\u00ed bezpe\u010dnosti d\u016fv\u011bra v infrastrukturu a servery WordPress (po na\u010dten\u00ed se prov\u00e1d\u011bla kontrola hash, ani\u017e by byla ov\u011b\u0159ov\u00e1na zdroj). V p\u0159\u00edpad\u011b kompromitace server\u016f projektu m\u011bli \u00fato\u010dn\u00edci mo\u017enost pozm\u011bnit aktualizaci a \u0161\u00ed\u0159it \u0161kodliv\u00fd k\u00f3d mezi weby na b\u00e1zi WordPress, kter\u00e9 vyu\u017e\u00edvaly syst\u00e9m automatick\u00e9 instalace aktualizac\u00ed. V souladu s d\u0159\u00edve pou\u017e\u00edvan\u00fdm modelem doru\u010dov\u00e1n\u00ed na z\u00e1klad\u011b d\u016fv\u011bry by takov\u00e1 zm\u011bna z\u016fstala u\u017eivateli nepov\u0161imnuta. <\/p>\n

Vzhledem k tomu, \u017ee podle informac\u00ed<\/a><\/noindex> projektu w3techs je platforma WordPress pou\u017e\u00edv\u00e1na na 33,8 % webov\u00fdch str\u00e1nek na s\u00edti, incident by m\u011bl katastrof\u00e1ln\u00ed rozsah. P\u0159itom nebezpe\u010d\u00ed kompromitace infrastruktury nebylo hypotetick\u00e9, ale zcela re\u00e1ln\u00e9. Nap\u0159\u00edklad p\u0159ed n\u011bkolika lety jeden ze bezpe\u010dnostn\u00edch v\u00fdzkumn\u00edk\u016f p\u0159edvedl<\/a><\/noindex> nalezl zranitelnost, kter\u00e1 umo\u017enila \u00fato\u010dn\u00edkovi spustit jeho k\u00f3d na stran\u011b serveru api.wordpress.org. <\/p>\n

V p\u0159\u00edpad\u011b pou\u017eit\u00ed digit\u00e1ln\u00edch podpis\u016f by z\u00edsk\u00e1n\u00ed kontroly nad serverem distribuce aktualizac\u00ed nevedlo k naru\u0161en\u00ed u\u017eivatelsk\u00fdch syst\u00e9m\u016f, proto\u017ee k proveden\u00ed \u00fatoku by bylo nav\u00edc nutn\u00e9 z\u00edskat zvl\u00e1\u0161\u0165 ulo\u017een\u00fd priv\u00e1tn\u00ed kl\u00ed\u010d, pomoc\u00ed kter\u00e9ho se aktualizace podepisuj\u00ed. <\/p>\n

Zaveden\u00ed kontroly zdroje aktualizac\u00ed pomoc\u00ed digit\u00e1ln\u00edho podpisu bylo zt\u00ed\u017eeno t\u00edm, \u017ee podpora pot\u0159ebn\u00fdch kryptografick\u00fdch algoritm\u016f byla ned\u00e1vno sou\u010d\u00e1st\u00ed standardn\u00edho dod\u00e1n\u00ed PHP. Pot\u0159ebn\u00e9 kryptografick\u00e9 algoritmy se objevily d\u00edky integraci knihovny Libsodium<\/a><\/noindex> do hlavn\u00edho j\u00e1dra PHP 7.2<\/a><\/noindex>. Minim\u00e1ln\u00ed podporovan\u00e1 verze PHP, kter\u00e1 je deklarov\u00e1na ve WordPressu, je verze 5.2.4 (od WordPress 5.2 \u2014 5.6.20). Za\u010dlen\u011bn\u00ed podpory digit\u00e1ln\u00edch podpis\u016f by vedlo k v\u00fdrazn\u00e9mu zv\u00fd\u0161en\u00ed po\u017eadavk\u016f na minim\u00e1ln\u011b podporovanou verzi PHP nebo k p\u0159id\u00e1n\u00ed extern\u00ed z\u00e1vislosti, na co\u017e se v\u00fdvoj\u00e1\u0159i nemohli obr\u00e1tit s ohledem na roz\u0161\u00ed\u0159enost verz\u00ed PHP v hostingov\u00fdch syst\u00e9mech.<\/a><\/noindex> verze 5.2.4 (od WordPress 5.2 do 5.6.20). Zaveden\u00ed podpory digit\u00e1ln\u00edch podpis\u016f by vy\u017eadovalo zv\u00fd\u0161en\u00ed minim\u00e1ln\u00edch po\u017eadavk\u016f na podporovanou verzi PHP nebo p\u0159id\u00e1n\u00ed extern\u00ed z\u00e1vislosti, co\u017e se v\u00fdvoj\u00e1\u0159i s ohledem na roz\u0161\u00ed\u0159enost verz\u00ed PHP na hostingov\u00fdch syst\u00e9mech rozhodli neud\u011blat. <\/p>\n

a za\u010dlen\u011bn\u00ed kompaktn\u00ed verze Libsodium do WordPress 5.2 \u2014 v\u00fdvoj<\/a><\/noindex> a za\u0159azen\u00ed kompaktn\u00ed verze Libsodium do WordPress 5.2 - Sodium Compat<\/a><\/noindex>, ve kter\u00e9m je na jazyce PHP implementov\u00e1na minim\u00e1ln\u00ed sada algoritm\u016f pro ov\u011b\u0159ov\u00e1n\u00ed digit\u00e1ln\u00edch podpis\u016f. Implementace by mohla b\u00fdt lep\u0161\u00ed z hlediska v\u00fdkonu, ale kompletn\u011b \u0159e\u0161\u00ed probl\u00e9m s kompatibilitou a umo\u017e\u0148uje v\u00fdvoj\u00e1\u0159\u016fm plugin\u016f za\u010d\u00edt implementaci modern\u00edch kryptografick\u00fdch algoritm\u016f.<\/p>\n

K vytv\u00e1\u0159en\u00ed digit\u00e1ln\u00edch podpis\u016f se pou\u017e\u00edv\u00e1 algoritmus Ed25519<\/a><\/noindex>, vyvinut\u00fd za \u00fa\u010dasti D\u00e1niela Bernstein (Daniel J. Bernstein). Digit\u00e1ln\u00ed podpis se vytv\u00e1\u0159\u00ed pro hodnotu hash SHA384, vypo\u010d\u00edtanou z obsahu archivu s aktualizac\u00ed. Ed25519 m\u00e1 vy\u0161\u0161\u00ed \u00farove\u0148 bezpe\u010dnosti ne\u017e ECDSA a DSA a vykazuje velmi vysokou rychlost ov\u011b\u0159ov\u00e1n\u00ed a generov\u00e1n\u00ed podpis\u016f. Odolnost proti prolomen\u00ed pro Ed25519 je p\u0159ibli\u017en\u011b 2^128 (ve st\u0159edn\u00edm p\u0159\u00edpad\u011b bude pro \u00fatok na Ed25519 pot\u0159ebn\u00e9 prov\u00e9st 2^140 bitov\u00fdch operac\u00ed), co\u017e odpov\u00edd\u00e1 odolnosti algoritm\u016f jako NIST P-256 a RSA s velikost\u00ed kl\u00ed\u010de 3000 bit\u016f nebo 128-bitov\u00e9mu blokov\u00e9mu \u0161ifru. Ed25519 tak\u00e9 nen\u00ed n\u00e1chyln\u00fd k probl\u00e9m\u016fm s kolizemi v hashech, nen\u00ed citliv\u00fd na \u00fatoky pomoc\u00ed anal\u00fdzy \u010dasov\u00e1n\u00ed cachov\u00e1n\u00ed a \u00fatoky pomoc\u00ed bo\u010dn\u00edch kan\u00e1l\u016f. <\/p>\n

Ve verzi WordPress 5.2 ov\u011b\u0159ov\u00e1n\u00ed digit\u00e1ln\u00edho podpisu zat\u00edm pokr\u00fdv\u00e1 pouze z\u00e1kladn\u00ed aktualizace platformy a ve v\u00fdchoz\u00edm nastaven\u00ed neblokuje aktualizaci, ale pouze informuje u\u017eivatele o vznikl\u00e9m probl\u00e9mu. Byla p\u0159ijata rozhodnut\u00ed o nezahrnut\u00ed blokace ve v\u00fdchoz\u00edm nastaven\u00ed kv\u016fli nutnosti pln\u00e9ho ov\u011b\u0159en\u00ed a obch\u00e1zen\u00ed mo\u017en\u00fdch probl\u00e9m\u016f<\/a><\/noindex>. V budoucnu se pl\u00e1nuje p\u0159idat ov\u011b\u0159ov\u00e1n\u00ed digit\u00e1ln\u00edch podpis\u016f tak\u00e9 pro verifikaci zdroje instalace motiv\u016f a plugin\u016f (v\u00fdrobci budou moci podepisovat vyd\u00e1n\u00ed sv\u00fdm kl\u00ed\u010dem).<\/p>\n

Krom\u011b podpory digit\u00e1ln\u00edch podpis\u016f ve WordPress 5.2 lze zaznamenat n\u00e1sleduj\u00edc\u00ed zm\u011bny:<\/p>\n