{"id":33247,"date":"2019-10-31T21:51:34","date_gmt":"2019-10-31T18:51:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi\/"},"modified":"2019-10-31T21:51:34","modified_gmt":"2019-10-31T18:51:34","slug":"reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","title":{"rendered":"WordPress 5.2 v\u00e4ljaanne, mis toetab digitaalsete allkirjade abil v\u00e4rskenduste kontrollimist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Esitletud<\/a><\/noindex> veebisisuhalduss\u00fcsteemi v\u00e4ljakuulutamine WordPress 5.2<\/a><\/noindex>. V\u00e4ljaanne on tuntud oma l\u00f5petamise poolest kuueaastase epop\u00f6a<\/a><\/noindex> rakendamise osas v\u00f5imaluste<\/a><\/noindex> v\u00e4rskenduste ja t\u00e4ienduste kontrollimiseks digitaalsete allkiri abil. <\/p>\n

Siiani oli WordPressi v\u00e4rskenduste installimisel peamine ohutegur usaldus WordPressi infrastruktuuri ja serverite suhtes (p\u00e4rast allalaadimist viidi l\u00e4bi hash-kontroll ilma allika kinnitamiseta). Projekti serverite kompromiteerimise korral said r\u00fcndajad v\u00f5imaluse uuendamist petta ja levitada pahavara WordPressi p\u00f5hinevatesse saitidesse, mis kasutasid automaatsete v\u00e4rskenduste installimise s\u00fcsteemi. Varasema usaldusv\u00e4\u00e4rsete kohaletoimetamise mudeli kohaselt oleks selline valeandmine kasutajate poole pealt j\u00e4\u00e4nud m\u00e4rkamatuks. <\/p>\n

Arvestades, et andmete<\/a><\/noindex> projekti w3techs andmetel kasutatakse platvormi WordPress 33,8% veebisaitidest, oleks intsident omandanud katastroofilise m\u00f5\u00f5tme. Samuti ei olnud infrastruktuuri kompromiteerimise oht h\u00fcpoteetiline, vaid t\u00e4iesti reaalne. N\u00e4iteks m\u00f5ned aastad tagasi leidis \u00fcks turva-uuringute spetsialist demonstreeris<\/a><\/noindex> haavatavuse, mis lubas r\u00fcndajal k\u00e4ivitada oma koodi \u0441\u0435\u0440\u0432\u0435\u0440is api.wordpress.org. <\/p>\n

Digitaalsete allkirjade kasutamisel ei viiks v\u00e4rskenduste jaotamise serveri kontrolli allav\u00f5tmine kasutajate s\u00fcsteemide kompromiteerimiseni, kuna r\u00fcnnaku l\u00e4biviimiseks oleks lisaks vajalik eraldi hoitav privaatv\u00f5ti, millega v\u00e4rskendused allkirjastatakse. <\/p>\n

V\u00e4rskenduste allika kontrollimist digitaalsete allkirjade abil takistas see, et vajalike kr\u00fcptograafiliste algoritmide tugi ilmus PHP vaikimisi pakkumises suhteliselt hiljuti. Vajalikud kr\u00fcptograafilised algoritmid said t\u00e4nu raamatukogu Libsodium<\/a><\/noindex> integreerimisele PHP 7.2<\/a><\/noindex>. Kuid minimaalne versioon PHP, mida WordPress toetab, on m\u00e4rgitud<\/a><\/noindex> v\u00e4ljaanne 5.2.4 (alates WordPress 5.2 kuni 5.6.20). Digitaalsete allkirjade toe kaasamine tooks kaasa olulisi n\u00f5udeid PHP minimaalsetele versioonidele v\u00f5i v\u00e4lise s\u00f5ltuvuse lisamise, millega arendajad ei saanud arvestada, kuna PHP versioonide levik hostimiss\u00fcsteemides on suur. <\/p>\n

Lahendus oli arendus<\/a><\/noindex> ja Libsodium kompaktse variandi kaasamine WordPress 5.2-sse \u2014 Naatrium Compat<\/a><\/noindex>, milles on PHP keeles rakendatud minimaalne algoritmide kogum digitaalsete allkirjade kontrollimiseks. Rakendus j\u00e4tab soovida j\u00f5udluse osas, kuid lahendab t\u00e4ielikult \u00fchilduvuse probleemi ning v\u00f5imaldab pluginate arendajatel alustada kaasaegsete kr\u00fcptograafiliste algoritmide rakendamist.<\/p>\n

Digitaalsete allkirjade genereerimiseks kasutatakse algoritmi PerformanceResourceTiming<\/a><\/noindex>, mille arendamisel osales Daniel Bernstein. Digitaalne allkiri genereeritakse SHA384 r\u00e4sihinni p\u00f5hjal, mis arvutatakse uuenduse arhiivi sisu p\u00f5hjal. Ed25519 pakub k\u00f5rgemat turvataset kui ECDSA ja DSA ning n\u00e4itab v\u00e4ga k\u00f5rget allkirjade verifitseerimise ja loomise kiirus. Ed25519 tugevus h\u00e4kkimise vastu on ligikaudu 2^128 (keskmiselt, et r\u00fcnnata Ed25519, tuleb teha 2^140 bititehteid), mis vastab selliste algoritmide, nagu NIST P-256 ja RSA, mille v\u00f5tme suurus on 3000 bitti v\u00f5i 128-bitise plokksalakirjutuse tugevusele. Ed25519 ei ole ka vastuv\u00f5tlik h\u00e4kki r\u00e4sihinnade kollisioonide probleemidele, ei ole m\u00f5jatud andmete ajaskoorimise anal\u00fc\u00fcsi (cache-timing) ja k\u00fclgr\u00fcnnakute r\u00fcnnakute probleemidest. <\/p>\n

WordPress 5.2 v\u00e4ljaandes katab digitaalne allkiri praegu ainult platvormi p\u00f5hiv\u00e4rskendused, ega p\u00f5hjusta vaikimisi v\u00e4rskenduste blokeerimist, vaid teavitab kasutajat tekkinud probleemist. Vaikimisi ei otsustatud blokeerimist koheselt sisse l\u00fclitada, kuna on vajalik t\u00e4ielik kontroll ja v\u00f5imalike probleemide \u00fcletamine . Tulevikus plaanitakse digitaalsete allkirjade kontrollimist lisada ka teemade ja pluginad installatsiooniallikate versiooni valideerimiseks (tootjad saavad allkirjastada v\u00e4ljaanded oma v\u00f5tmega).<\/a><\/noindex>Peale digitaalsete allkirjade toe on WordPress 5.2-s mainitud ka j\u00e4rgmisi muudatusi:<\/p>\n

Jaotisse \u201eSite Health\u201c on lisatud kaks uut lehte standardsete seadistamise probleemide t\u00f5rkeotsingu jaoks ning on v\u00f5imalik edastada arendajate t\u00f5rkeinfo saidi administraatoritele;<\/p>\n