डिजिटल हस्ताक्षर द्वारा अद्यतनों की जाँच के समर्थन के साथ वर्डप्रेस 5.2 का विमोचन

द्वारा प्रस्तुत वेब सामग्री प्रबंधन प्रणाली का विमोचन WordPress के 5.2. यह रिलीज़ अपनी पूर्णता के लिए उल्लेखनीय है छह साल का महाकाव्य कार्यान्वयन पर सुनहरे अवसर डिजिटल हस्ताक्षर का उपयोग करके अद्यतन और परिवर्धन की जाँच करना।

अब तक, वर्डप्रेस में अपडेट इंस्टॉल करते समय, मुख्य सुरक्षा कारक वर्डप्रेस इंफ्रास्ट्रक्चर और सर्वर पर भरोसा था (डाउनलोड करने के बाद, स्रोत को सत्यापित किए बिना हैश की जांच की गई थी)। यदि प्रोजेक्ट के सर्वर से छेड़छाड़ की गई थी, तो हमलावर अपडेट को धोखा देने और स्वचालित अपडेट इंस्टॉलेशन सिस्टम का उपयोग करने वाली वर्डप्रेस-आधारित साइटों के बीच दुर्भावनापूर्ण कोड वितरित करने में सक्षम थे। पहले इस्तेमाल किए गए ट्रस्ट डिलीवरी मॉडल के अनुसार, इस तरह के प्रतिस्थापन पर उपयोगकर्ताओं का ध्यान नहीं गया होगा।

इस तथ्य को ध्यान में रखते हुए के अनुसार w3techs प्रोजेक्ट में, वर्डप्रेस प्लेटफ़ॉर्म का उपयोग नेटवर्क पर 33.8% साइटों पर किया जाता है, यह घटना एक आपदा के पैमाने पर होती। साथ ही, बुनियादी ढांचे से समझौते का खतरा काल्पनिक नहीं, बल्कि काफी वास्तविक था। उदाहरण के लिए, कई साल पहले सुरक्षा शोधकर्ताओं में से एक साबित एक भेद्यता जिसने एक हमलावर को api.wordpress.org के सर्वर साइड पर अपना कोड निष्पादित करने की अनुमति दी।

डिजिटल हस्ताक्षर के मामले में, अद्यतन वितरण सर्वर पर नियंत्रण प्राप्त करने से उपयोगकर्ता सिस्टम से समझौता नहीं होगा, क्योंकि किसी हमले को अंजाम देने के लिए, आपको अतिरिक्त रूप से एक अलग से संग्रहीत निजी कुंजी प्राप्त करने की आवश्यकता होगी, जिसके साथ अद्यतन पर हस्ताक्षर किए जाते हैं।

डिजिटल हस्ताक्षर का उपयोग करके अपडेट के स्रोत की जाँच के कार्यान्वयन में इस तथ्य से बाधा उत्पन्न हुई कि आवश्यक क्रिप्टोग्राफ़िक एल्गोरिदम के लिए समर्थन अपेक्षाकृत हाल ही में मानक PHP पैकेज में दिखाई दिया। आवश्यक क्रिप्टोग्राफ़िक एल्गोरिदम लाइब्रेरी के एकीकरण के कारण प्रकट हुए लिब्सोडियम मुख्य टीम को PHP 7.2. लेकिन वर्डप्रेस में PHP के न्यूनतम समर्थित संस्करण के रूप में कहा गया रिलीज़ 5.2.4 (वर्डप्रेस 5.2 - 5.6.20 से)। डिजिटल हस्ताक्षरों के लिए समर्थन सक्षम करने से PHP के न्यूनतम समर्थित संस्करण या बाहरी निर्भरता के अतिरिक्त आवश्यकताओं में उल्लेखनीय वृद्धि होगी, जो डेवलपर्स होस्टिंग सिस्टम में PHP संस्करणों की व्यापकता को देखते हुए नहीं कर सके।

समाधान था डिज़ाइन और वर्डप्रेस 5.2 में लिबसोडियम के एक कॉम्पैक्ट संस्करण का समावेश - सोडियम कंपैट, जिसमें डिजिटल हस्ताक्षरों को सत्यापित करने के लिए एल्गोरिदम का एक न्यूनतम सेट PHP में लागू किया जाता है। कार्यान्वयन प्रदर्शन के मामले में वांछित होने के लिए बहुत कुछ छोड़ देता है, लेकिन संगतता समस्या को पूरी तरह से हल करता है, और प्लगइन डेवलपर्स को आधुनिक क्रिप्टोग्राफ़िक एल्गोरिदम को लागू करना शुरू करने की भी अनुमति देता है।

डिजिटल हस्ताक्षर उत्पन्न करने के लिए एक एल्गोरिदम का उपयोग किया जाता है Ed25519, डेनियल जे. बर्नस्टीन की भागीदारी से विकसित किया गया। अद्यतन संग्रह की सामग्री से गणना की गई SHA384 हैश मान के लिए एक डिजिटल हस्ताक्षर उत्पन्न होता है। Ed25519 में ECDSA और DSA की तुलना में उच्च स्तर की सुरक्षा है, और सत्यापन और हस्ताक्षर निर्माण की बहुत उच्च गति प्रदर्शित करता है। Ed25519 के लिए हैकिंग का प्रतिरोध लगभग 2^128 है (औसतन, Ed25519 पर हमले के लिए 2^140 बिट संचालन की आवश्यकता होगी), जो कि 256 बिट्स के कुंजी आकार के साथ NIST P-3000 और RSA जैसे एल्गोरिदम के प्रतिरोध से मेल खाता है। या 128-बिट ब्लॉक सिफर। Ed25519 हैश टकराव की समस्याओं के प्रति भी संवेदनशील नहीं है, और कैश-टाइमिंग हमलों या साइड-चैनल हमलों के प्रति भी संवेदनशील नहीं है।

वर्डप्रेस 5.2 रिलीज़ में, डिजिटल हस्ताक्षर सत्यापन वर्तमान में केवल प्रमुख प्लेटफ़ॉर्म अपडेट को कवर करता है और डिफ़ॉल्ट रूप से अपडेट को ब्लॉक नहीं करता है, बल्कि केवल उपयोगकर्ता को समस्या के बारे में सूचित करता है। पूर्ण जाँच और बायपास की आवश्यकता के कारण डिफॉल्ट ब्लॉकिंग को तुरंत सक्षम नहीं करने का निर्णय लिया गया संभावित समस्याएँ. भविष्य में, थीम और प्लगइन्स की स्थापना के स्रोत को सत्यापित करने के लिए डिजिटल हस्ताक्षर सत्यापन जोड़ने की भी योजना बनाई गई है (निर्माता अपनी कुंजी के साथ रिलीज पर हस्ताक्षर करने में सक्षम होंगे)।

वर्डप्रेस 5.2 में डिजिटल हस्ताक्षर के समर्थन के अलावा, निम्नलिखित परिवर्तन नोट किए जा सकते हैं:

• सामान्य कॉन्फ़िगरेशन समस्याओं को डीबग करने के लिए "साइट स्वास्थ्य" अनुभाग में दो नए पेज जोड़े गए हैं, और एक फॉर्म भी प्रदान किया गया है जिसके माध्यम से डेवलपर्स साइट प्रशासकों को डिबगिंग जानकारी छोड़ सकते हैं;
• घातक समस्याओं के मामले में प्रदर्शित "मौत की सफेद स्क्रीन" का कार्यान्वयन जोड़ा गया और व्यवस्थापक को एक विशेष क्रैश रिकवरी मोड पर स्विच करके प्लगइन्स या थीम से संबंधित समस्याओं को स्वतंत्र रूप से ठीक करने में मदद की गई;
• प्लगइन्स के साथ संगतता की जांच करने के लिए एक प्रणाली लागू की गई है, जो उपयोग किए गए PHP के संस्करण को ध्यान में रखते हुए, वर्तमान कॉन्फ़िगरेशन में प्लगइन का उपयोग करने की संभावना की स्वचालित रूप से जांच करती है। यदि किसी प्लगइन को काम करने के लिए PHP के नए संस्करण की आवश्यकता होती है, तो सिस्टम स्वचालित रूप से इस प्लगइन को शामिल करने से रोक देगा;
• जावास्क्रिप्ट कोड का उपयोग करके मॉड्यूल को सक्षम करने के लिए समर्थन जोड़ा गया वेबपैक и कोलाहल;
• एक नया गोपनीयता-नीति.php टेम्पलेट जोड़ा गया जो आपको गोपनीयता नीति पृष्ठ की सामग्री को अनुकूलित करने की अनुमति देता है;
• थीम के लिए, एक wp_body_open हुक हैंडलर जोड़ा गया है, जो आपको बॉडी टैग के तुरंत बाद कोड डालने की अनुमति देता है;
• PHP के न्यूनतम संस्करण की आवश्यकताओं को 5.6.20 तक बढ़ा दिया गया है; प्लगइन्स और थीम में अब नेमस्पेस और अनाम फ़ंक्शंस का उपयोग करने की क्षमता है;
• 13 नए आइकन जोड़े गए.

इसके अतिरिक्त, आप उल्लेख कर सकते हैं पहचान वर्डप्रेस प्लगइन में गंभीर भेद्यता WP लाइव चैट (सीवीई-2019-11185)। भेद्यता सर्वर पर मनमाने PHP कोड को निष्पादित करने की अनुमति देती है। किसी विज़िटर के साथ इंटरैक्टिव चैट को व्यवस्थित करने के लिए प्लगइन का उपयोग 27 हजार से अधिक साइटों पर किया जाता है, जिसमें IKEA, Adobe, Huawei, PayPal, Tele2 और McDonald's जैसी कंपनियों की साइटें शामिल हैं (लाइव चैट का उपयोग अक्सर पॉप-अप को लागू करने के लिए किया जाता है) ऑफर के साथ कंपनी की साइटों पर चैट करें कर्मचारी के साथ चैट करें)।

समस्या सर्वर पर फ़ाइलें अपलोड करने के कोड में ही प्रकट होती है और आपको मान्य फ़ाइल प्रकारों की जांच को बायपास करने और सर्वर पर एक PHP स्क्रिप्ट अपलोड करने और फिर इसे सीधे वेब के माध्यम से निष्पादित करने की अनुमति देती है। दिलचस्प बात यह है कि पिछले साल लाइव चैट (CVE-2018-12426) में एक समान भेद्यता पहले ही पहचानी गई थी, जिसने सामग्री-प्रकार फ़ील्ड में एक अलग सामग्री प्रकार निर्दिष्ट करते हुए, एक छवि की आड़ में PHP कोड लोड करने की अनुमति दी थी। समाधान के भाग के रूप में, श्वेतसूची और MIME सामग्री प्रकार के लिए अतिरिक्त जाँचें जोड़ी गई हैं। जैसा कि यह पता चला है, ये जाँच गलत तरीके से लागू की गई हैं और इन्हें आसानी से बायपास किया जा सकता है।

विशेष रूप से, ".php" एक्सटेंशन वाली फ़ाइलों को सीधे अपलोड करना प्रतिबंधित है, लेकिन ".phtml" एक्सटेंशन, जो कई सर्वरों पर PHP दुभाषिया से जुड़ा है, को ब्लैकलिस्ट में नहीं जोड़ा गया था। श्वेतसूची केवल छवि अपलोड की अनुमति देती है, लेकिन आप दोहरा एक्सटेंशन निर्दिष्ट करके इसे बायपास कर सकते हैं, उदाहरण के लिए, ".gif.phtml"। फ़ाइल की शुरुआत में MIME प्रकार की जांच को बायपास करने के लिए, PHP कोड के साथ टैग खोलने से पहले, लाइन "GIF89a" निर्दिष्ट करना पर्याप्त था।

स्रोत: opennet.ru