{"id":33247,"date":"2019-10-31T21:51:34","date_gmt":"2019-10-31T18:51:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi\/"},"modified":"2019-10-31T21:51:34","modified_gmt":"2019-10-31T18:51:34","slug":"reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","title":{"rendered":"Lanzamiento de WordPress 5.2 con soporte para verificaci\u00f3n de actualizaciones mediante firma digital","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Presentado<\/a><\/noindex> lanzamiento del sistema de gesti\u00f3n de contenido web WordPress 5.2<\/a><\/noindex>. La salida es notable por la finalizaci\u00f3n de una \u00e9pica de seis a\u00f1os<\/a><\/noindex> sobre la implementaci\u00f3n capacidad<\/a><\/noindex> de verificar actualizaciones y complementos mediante firma digital. <\/p>\n

Hasta ahora, al instalar actualizaciones en WordPress, el principal factor de seguridad era la confianza en la infraestructura y servidores de WordPress (despu\u00e9s de la descarga, se realizaba una verificaci\u00f3n de hash sin verificaci\u00f3n de la fuente). En caso de compromiso de los servidores del proyecto, los atacantes pod\u00edan sustituir la actualizaci\u00f3n y propagar c\u00f3digo malicioso entre los sitios basados en WordPress que utilizaban el sistema de instalaci\u00f3n autom\u00e1tica de actualizaciones. De acuerdo con el modelo de entrega basado en confianza previamente aplicado, tal sustituci\u00f3n quedar\u00eda sin ser detectada por los usuarios. <\/p>\n

Dado que seg\u00fan los datos<\/a><\/noindex> el proyecto w3techs la plataforma WordPress se utiliza en el 33.8% de los sitios de la red, el incidente tendr\u00eda dimensiones catastr\u00f3ficas. Adem\u00e1s, el peligro de comprometer la infraestructura no era hipot\u00e9tico, sino completamente real. Por ejemplo, hace varios a\u00f1os, uno de los investigadores de seguridad demostr\u00f3<\/a><\/noindex> una vulnerabilidad que permit\u00eda a un atacante ejecutar su c\u00f3digo en el lado del servidor api.wordpress.org. <\/p>\n

En caso de aplicar firmas digitales, obtener control sobre el servidor de distribuci\u00f3n de actualizaciones no llevar\u00eda a la compromisi\u00f3n de los sistemas de los usuarios, ya que para llevar a cabo el ataque tambi\u00e9n se necesitar\u00eda obtener la clave privada que se almacena por separado, con la cual se realizan las firmas de las actualizaciones. <\/p>\n

La implementaci\u00f3n de la verificaci\u00f3n de la fuente de actualizaciones mediante firma digital se vio obstaculizada por el hecho de que el soporte para los algoritmos criptogr\u00e1ficos necesarios apareci\u00f3 en la distribuci\u00f3n est\u00e1ndar de PHP relativamente recientemente. Los algoritmos criptogr\u00e1ficos necesarios aparecieron gracias a la integraci\u00f3n de la biblioteca Libsodium<\/a><\/noindex> en el n\u00facleo de PHP 7.2<\/a><\/noindex>. Pero como la versi\u00f3n m\u00ednima soportada en WordPress se declar\u00f3<\/a><\/noindex> versi\u00f3n 5.2.4 (a partir de WordPress 5.2 \u2014 5.6.20). La inclusi\u00f3n del soporte para firmas digitales habr\u00eda llevado a un aumento significativo en los requisitos de la versi\u00f3n m\u00ednima de PHP soportada o a la adici\u00f3n de una dependencia externa, lo cual los desarrolladores no pod\u00edan aceptar dada la prevalencia de versiones de PHP en los sistemas de hosting. <\/p>\n

La soluci\u00f3n fue desarrollo<\/a><\/noindex> y la inclusi\u00f3n en WordPress 5.2 de una versi\u00f3n compacta de Libsodium \u2014 Sodium Compat<\/a><\/noindex>, en la que se implementa un conjunto m\u00ednimo de algoritmos en PHP para verificar firmas digitales. La implementaci\u00f3n deja mucho que desear en t\u00e9rminos de rendimiento, pero resuelve completamente el problema de compatibilidad y permite a los desarrolladores de plugins comenzar a incorporar algoritmos criptogr\u00e1ficos modernos.<\/p>\n

Para la formaci\u00f3n de firmas digitales se utiliza el algoritmo Ed25519<\/a><\/noindex>, desarrollado con la participaci\u00f3n de Daniel J. Bernstein. La firma digital se genera para un valor hash SHA384, calculado del contenido del archivo con la actualizaci\u00f3n. Ed25519 cuenta con un nivel de seguridad m\u00e1s alto que ECDSA y DSA, y muestra una velocidad muy alta en la verificaci\u00f3n y creaci\u00f3n de firmas. La resistencia a ataques de Ed25519 es del orden de 2^128 (en promedio, se requerir\u00e1n 2^140 operaciones de bits para atacar Ed25519), lo que es equivalente a la resistencia de algoritmos como NIST P-256 y RSA con una longitud de clave de 3000 bits o un cifrado de bloques de 128 bits. Ed25519 tambi\u00e9n es inmune a problemas de colisiones en hashes, no es sensible a ataques a trav\u00e9s de an\u00e1lisis de temporizaci\u00f3n de cach\u00e9 y ataques de canal lateral. <\/p>\n

En la versi\u00f3n de WordPress 5.2, la verificaci\u00f3n de la firma digital abarca actualmente solo las actualizaciones principales de la plataforma y por defecto no bloquea la actualizaci\u00f3n, solo informa al usuario sobre el problema encontrado. La decisi\u00f3n de no incluir el bloqueo por defecto se debe a la necesidad de una verificaci\u00f3n completa y a sortear posibles problemas<\/a><\/noindex>. En el futuro, tambi\u00e9n se planea a\u00f1adir la verificaci\u00f3n de la firma digital para verificar la fuente de instalaci\u00f3n de temas y plugins (los fabricantes podr\u00e1n firmar las versiones con su propia clave).<\/p>\n

Adem\u00e1s del soporte para firmas digitales, se pueden notar los siguientes cambios en WordPress 5.2:<\/p>\n