{"id":33247,"date":"2019-10-31T21:51:34","date_gmt":"2019-10-31T18:51:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi\/"},"modified":"2019-10-31T21:51:34","modified_gmt":"2019-10-31T18:51:34","slug":"reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/reliz-wordpress-5-2-s-podderzhkoj-proverki-obnovlenij-po-tsifrovoj-podpisi","title":{"rendered":"A WordPress 5.2 megjelen\u00e9se digit\u00e1lis al\u00e1\u00edr\u00e1s alapj\u00e1n t\u00f6rt\u00e9n\u0151 friss\u00edt\u00e9si ellen\u0151rz\u00e9s t\u00e1mogat\u00e1s\u00e1val","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bemutatva<\/a><\/noindex> webtartalom-kezel\u0151 rendszer megjelen\u00e9se WordPress 5.2<\/a><\/noindex>. A kiad\u00e1s jelent\u0151s a hat \u00e9ves epiz\u00f3d befejez\u00e9sek\u00e9nt<\/a><\/noindex> a lehet\u0151s\u00e9gek<\/a><\/noindex> digit\u00e1lis al\u00e1\u00edr\u00e1s alapj\u00e1n t\u00f6rt\u00e9n\u0151 friss\u00edt\u00e9sek \u00e9s b\u0151v\u00edtm\u00e9nyek ellen\u0151rz\u00e9s\u00e9nek megval\u00f3s\u00edt\u00e1sa. <\/p>\n

Eddig a WordPress friss\u00edt\u00e9sek telep\u00edt\u00e9sekor a biztons\u00e1g f\u0151 t\u00e9nyez\u0151je a WordPress infrastrukt\u00far\u00e1j\u00e1ban \u00e9s szervereiben val\u00f3 bizalom volt (a let\u00f6lt\u00e9s ut\u00e1n a hash-ellen\u0151rz\u00e9s t\u00f6rt\u00e9nt, forr\u00e1s ellen\u0151rz\u00e9se n\u00e9lk\u00fcl). A projekt szervereinek kompromitt\u00e1l\u00e1sa eset\u00e9n a t\u00e1mad\u00f3k lehet\u0151s\u00e9get kaptak arra, hogy hamis\u00edtj\u00e1k a friss\u00edt\u00e9seket, \u00e9s k\u00e1rt\u00e9kony k\u00f3dot terjesztenek a WordPress alap\u00fa webhelyek k\u00f6z\u00f6tt, amelyek automatikus friss\u00edt\u00e9si rendszert haszn\u00e1lnak. A kor\u00e1bban alkalmazott bizalmi modellel t\u00f6rt\u00e9n\u0151 sz\u00e1ll\u00edt\u00e1s eset\u00e9n a felhaszn\u00e1l\u00f3k oldal\u00e1n az ilyen hamis\u00edt\u00e1s \u00e9szrev\u00e9tlen maradt volna. <\/p>\n

Figyelembe v\u00e9ve, hogy a adatok<\/a><\/noindex> w3techs projekten bel\u00fcl a WordPress platformot az interneten tal\u00e1lhat\u00f3 webhelyek 33.8%-a haszn\u00e1lja, az incidens katasztr\u00f3fa m\u00e9reteket \u00f6lthetett volna. Ezen k\u00edv\u00fcl a infrastrukt\u00fara kompromitt\u00e1l\u00f3d\u00e1s\u00e1nak vesz\u00e9lye nem volt hipotetikus, hanem teljesen val\u00f3s\u00e1gos. P\u00e9ld\u00e1ul n\u00e9h\u00e1ny \u00e9vvel ezel\u0151tt egy biztons\u00e1gi kutat\u00f3 bemutatta<\/a><\/noindex> a sebezhet\u0151s\u00e9get, amely lehet\u0151v\u00e9 tette a t\u00e1mad\u00f3 sz\u00e1m\u00e1ra, hogy k\u00f3dot hajtson v\u00e9gre a api.wordpress.org szerver oldal\u00e1n. <\/p>\n

Digit\u00e1lis al\u00e1\u00edr\u00e1sok alkalmaz\u00e1sa eset\u00e9n a friss\u00edt\u00e9sek terjeszt\u00e9si szerver\u00e9nek ellen\u0151rz\u00e9s\u00e9nek megszerz\u00e9se nem vezetne a felhaszn\u00e1l\u00f3i rendszerek kompromitt\u00e1l\u00e1s\u00e1hoz, mivel a t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1hoz k\u00fcl\u00f6n sz\u00fcks\u00e9ges lenne megszerezni a titkos kulcsot, aminek seg\u00edts\u00e9g\u00e9vel a friss\u00edt\u00e9sek al\u00e1\u00edr\u00e1s\u00e1t v\u00e9gzik. <\/p>\n

A digit\u00e1lis al\u00e1\u00edr\u00e1s alapj\u00e1n t\u00f6rt\u00e9n\u0151 friss\u00edt\u00e9sek forr\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9nek bevezet\u00e9s\u00e9t akad\u00e1lyozta, hogy a sz\u00fcks\u00e9ges kriptogr\u00e1fiai algoritmusok t\u00e1mogat\u00e1sa a PHP alapkiad\u00e1s\u00e1ban viszonylag nemr\u00e9g jelent meg. A sz\u00fcks\u00e9ges kriptogr\u00e1fiai algoritmusok integr\u00e1l\u00e1s\u00e1val alakultak ki a Libsodium<\/a><\/noindex> a f\u0151 keretbe PHP 7.2<\/a><\/noindex>. De a WordPress \u00e1ltal minim\u00e1lisan t\u00e1mogatott PHP verzi\u00f3k\u00e9nt az<\/a><\/noindex> 5.2.4 kiad\u00e1s (WordPress 5.2 - 5.6.20-t\u00f3l). A digit\u00e1lis al\u00e1\u00edr\u00e1sok t\u00e1mogat\u00e1s\u00e1nak bevezet\u00e9se jelent\u0151s m\u00e9rt\u00e9kben n\u00f6veln\u00e9 a minim\u00e1lisan t\u00e1mogatott PHP verzi\u00f3val szembeni k\u00f6vetelm\u00e9nyeket, vagy k\u00fcls\u0151 f\u00fcgg\u0151s\u00e9get ig\u00e9nyelne, amit a fejleszt\u0151k nem tudtak v\u00e1llalni a PHP verzi\u00f3k elterjedts\u00e9ge miatt a t\u00e1rhelyszolg\u00e1ltat\u00f3kn\u00e1l. <\/p>\n

A megold\u00e1s a fejleszt\u00e9s volt<\/a><\/noindex> \u00e9s a WordPress 5.2-nek a Libsodium kompakt v\u00e1ltozat\u00e1t is tartalmazza - Sodium Compat<\/a><\/noindex>, amelyben PHP nyelven egy minim\u00e1lis algoritmuscsomag val\u00f3sul meg a digit\u00e1lis al\u00e1\u00edr\u00e1sok ellen\u0151rz\u00e9s\u00e9re. A megval\u00f3s\u00edt\u00e1s teljes\u00edtm\u00e9nye k\u00edv\u00e1nnival\u00f3t hagy maga ut\u00e1n, de teljes m\u00e9rt\u00e9kben megoldja a kompatibilit\u00e1si probl\u00e9m\u00e1t, \u00e9s lehet\u0151v\u00e9 teszi a plugin fejleszt\u0151k sz\u00e1m\u00e1ra a modern kriptogr\u00e1fiai algoritmusok bevezet\u00e9s\u00e9t.<\/p>\n

A digit\u00e1lis al\u00e1\u00edr\u00e1sok l\u00e9trehoz\u00e1s\u00e1hoz a k\u00f6vetkez\u0151 algoritmus ker\u00fcl felhaszn\u00e1l\u00e1sra: Ed25519<\/a><\/noindex>, amelyet Daniel J. Bernstein k\u00f6zrem\u0171k\u00f6d\u00e9s\u00e9vel fejlesztettek ki. A digit\u00e1lis al\u00e1\u00edr\u00e1s a SHA384 hash \u00e9rt\u00e9khez k\u00e9pest keletkezik, amely a friss\u00edt\u00e9si arch\u00edvum tartalm\u00e1b\u00f3l lett kisz\u00e1m\u00edtva. Az Ed25519 magasabb biztons\u00e1gi szinttel rendelkezik, mint az ECDSA \u00e9s a DSA, \u00e9s rendk\u00edv\u00fcl gyorsan k\u00e9pes az al\u00e1\u00edr\u00e1sok ellen\u0151rz\u00e9s\u00e9re \u00e9s l\u00e9trehoz\u00e1s\u00e1ra. Az Ed25519 ellen\u00e1ll\u00e1sa a t\u00f6r\u00e9sre k\u00f6r\u00fclbel\u00fcl 2^128 (\u00e1tlagosan a t\u00e1mad\u00e1shoz 2^140 bitm\u0171velet sz\u00fcks\u00e9ges), ami egyen\u00e9rt\u00e9k\u0171 az olyan algoritmusok ellen\u00e1ll\u00e1s\u00e1val, mint a NIST P-256 \u00e9s az RSA 3000 bites kulcs m\u00e9rettel, vagy egy 128 bites blokksz\u00e1rral. Az Ed25519 nem szenved a hash \u00fctk\u00f6z\u00e9sek probl\u00e9m\u00e1it\u00f3l, nem \u00e9rz\u00e9keny a cache-timing t\u00e1mad\u00e1sokra \u00e9s a k\u00fcls\u0151 csatorn\u00e1kon kereszt\u00fcli t\u00e1mad\u00e1sokra. <\/p>\n

A WordPress 5.2 kiad\u00e1s\u00e1ban a digit\u00e1lis al\u00e1\u00edr\u00e1sok ellen\u0151rz\u00e9se egyel\u0151re csak a platform alapvet\u0151 friss\u00edt\u00e9seit fedi le, \u00e9s alap\u00e9rtelmez\u00e9s szerint nem blokkolja a friss\u00edt\u00e9seket, csup\u00e1n t\u00e1j\u00e9koztatja a felhaszn\u00e1l\u00f3t a felmer\u00fclt probl\u00e9m\u00e1r\u00f3l. Az alap\u00e9rtelmezett blokkol\u00e1st az\u00e9rt d\u00f6nt\u00f6tt\u00e9k el, hogy ne aktiv\u00e1lj\u00e1k, mert sz\u00fcks\u00e9ges a teljes ellen\u0151rz\u00e9s \u00e9s a esetleges probl\u00e9m\u00e1k kiker\u00fcl\u00e9se.<\/a><\/noindex>A j\u00f6v\u0151ben a digit\u00e1lis al\u00e1\u00edr\u00e1sok ellen\u0151rz\u00e9s\u00e9t is tervezik a t\u00e9m\u00e1k \u00e9s pluginok telep\u00edt\u00e9si forr\u00e1s\u00e1nak verifik\u00e1l\u00e1s\u00e1hoz (a gy\u00e1rt\u00f3k saj\u00e1t kulcsukkal al\u00e1\u00edrhatj\u00e1k a kiad\u00e1sokat).<\/p>\n

A digit\u00e1lis al\u00e1\u00edr\u00e1sok t\u00e1mogat\u00e1s\u00e1n k\u00edv\u00fcl a WordPress 5.2-ben a k\u00f6vetkez\u0151 v\u00e1ltoz\u00e1sok emelhet\u0151k ki:<\/p>\n