{"id":33247,"date":"2019-10-31T21:51:34","date_gmt":"2019-10-31T18:51:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi\/"},"modified":"2019-10-31T21:51:34","modified_gmt":"2019-10-31T18:51:34","slug":"reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","title":{"rendered":"WordPress 5.2 v\u00e4ljaanne digitaalse allkirja v\u00e4rskenduste kontrollimise toetusega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Esitletud<\/a><\/noindex> veebisisu haldamise s\u00fcsteemi v\u00e4ljaanne WordPress 5.2<\/a><\/noindex>. V\u00e4ljaanne on t\u00e4helepanuv\u00e4\u00e4rne kuueaastase epiloogiga<\/a><\/noindex> rakendamise osas v\u00f5imalus<\/a><\/noindex> v\u00e4rskenduste ja lisanduste kontrollimiseks digitaalse allkirja abil. <\/p>\n

Varasemalt tuli WordPressis v\u00e4rskenduste installimisel l\u00e4htuda peamiselt usaldusv\u00e4\u00e4rsusest WordPressi infrastruktuuri ja serverite suhtes (p\u00e4rast allalaadimist kontrolliti rikkaid ilma allika verifitseerimiseta). Projekti serverite kompromiteerimise korral said r\u00fcndajad asendada v\u00e4rskenduse ja levitada pahavara WordPressi veebilehtede seas, mis kasutasid automaatsete v\u00e4rskenduste installimiss\u00fcsteemi. Varasemalt rakendatud usaldusmudeli kohaselt j\u00e4\u00e4ks sarnane asendamine kasutajate seas m\u00e4rkamatuks. <\/p>\n

Arvestades, et andmetele<\/a><\/noindex> w3techs platvorm WordPress on 33,8% veebilehtedest, mille t\u00f5ttu oleks sellise intsidendi ulatus katastroofiline. Sellest tulenev infrastruktuuri komprimeerimise oht ei olnud h\u00fcpoteetiline, vaid t\u00e4iesti reaalne. N\u00e4iteks paar aastat tagasi demonstreeris \u00fcks turvauuringute spetsialist haavatavust, mis v\u00f5imaldas r\u00fcndajal k\u00e4ivitada oma koodi serveripoolel api.wordpress.org.<\/a><\/noindex> Digitaalsete allkirjade rakendamisel ei tooks v\u00e4rskenduste levitamise serveri \u00fcle kontrolli saamine kaasa kasutajate s\u00fcsteemide komprimeerimist, kuna r\u00fcnnaku tegemiseks oleks vajalik eraldi salvestatud privaatv\u00f5ti, millega allkirjastatakse v\u00e4rskendused. <\/p>\n

V\u00e4rskenduste allika kontrollimise digitaalsete allkirjade abil takistas see, et vajalikke kr\u00fcptograafilisi algoritme hakati PHP vaikimisi pakkumiste kaudu toetama alles hiljuti. Vajalikud kr\u00fcptograafilised algoritmid said v\u00f5imalikuks, kui integreeriti teek <\/p>\n

Libsodium PHP p\u00f5hikomplekti<\/a><\/noindex> PHP 7.2 . Kuid minimaalne versioon, mida WordPress toetab, on PHP<\/a><\/noindex>millele on esitatud taotlus<\/a><\/noindex> v\u00e4ljaanne 5.2.4 (WordPress 5.2 — 5.6.20). Digitaalse allkirjade toe lisamine tooks kaasa m\u00e4rkimisv\u00e4\u00e4rse t\u00f5usu soovitatavate miinimumversioonide jaoks PHP-le v\u00f5i v\u00e4lise s\u00f5ltuvuse lisamise, millega arendajad ei saanud n\u00f5ustuda, arvestades PHP versioonide levimust hostimiss\u00fcsteemides. <\/p>\n

Lahenduseks sai arendus<\/a><\/noindex> ja Libsodium kompaktse versiooni lisamine WordPress 5.2-sse — Sodium Compat<\/a><\/noindex>, milles PHP keeles on rakendatud minimaalne algoritmide kogum digitaalsete allkirjade kontrollimiseks. Teostus j\u00e4tab soovida j\u00f5udluse osas, kuid lahendab t\u00e4ielikult \u00fchilduvuse probleemi ning v\u00f5imaldab pluginate arendajatel alustada kaasaegsete kr\u00fcptograafiliste algoritmide rakendamist.<\/p>\n

Digitaalsete allkirjade koostamiseks kasutatakse algoritmi Ed25519<\/a><\/noindex>, mille, mis on v\u00e4lja t\u00f6\u00f6tatud Daniel J. Bernsteini (Daniel J. Bernstein) kaasabil. Digitaalne allkiri luuakse SHA384 r\u00e4siv\u00e4\u00e4rtusest, mis on arvutatud arhiivi sisu p\u00f5hjal koos v\u00e4rskendusega. Ed25519 pakub k\u00f5rgemat turvalisuse taset kui ECDSA ja DSA, ning n\u00e4itab allkirjade verifitseerimisel ja loomisel v\u00e4ga suurt kiirus. Ed25519 h\u00e4kkimise vastupidavus on umbes 2^128 (keskmiselt n\u00f5uab Ed25519 r\u00fcnnak 2^140 bitimuutust), mis vastab selliste algoritmide vastupidavusele nagu NIST P-256 ja RSA 3000-bitiste v\u00f5tmetega v\u00f5i 128-bitise plokksalajasele. Ed25519 pole samuti kohalike r\u00e4siv\u00e4\u00e4rtuste kokkuvarisemise probleeme ja on immuunne m\u00e4luefektiivuse (cache-timing) ja k\u00fclgkanali r\u00fcnnakute suhtes. <\/p>\n

WordPressi 5.2 v\u00e4ljaandes h\u00f5lmab digitaalallkirjade kontrollimine praegu ainult platvormi p\u00f5hiv\u00e4rskendusi ning ei too vaikimisi kaasa v\u00e4rskenduse blokeerimist, vaid teavitab kasutajat tekkinud probleemist. Vaikimisi blokeerimist on otsustatud mitte kaasata osaliselt selle t\u00f5ttu, et vajalik on t\u00e4ielik kontroll ja m\u00f6\u00f6dumine v\u00f5imalikest probleemidest<\/a><\/noindex>. Tulevikus on plaanis lisada digitaalallkirja kontroll ka teema- ja pluginapaigaldusallikate versioonide kontrollimiseks (tootjad saavad vabastada oma versioonid oma v\u00f5tmega).<\/p>\n

Lisaks digitaalallkirjade toetamisele v\u00f5ib WordPress 5.2 puhul m\u00e4rkida j\u00e4rgmised muudatused:<\/p>\n