डिजिटल स्वाक्षरीद्वारे अद्यतने तपासण्यासाठी समर्थनासह वर्डप्रेस 5.2 चे प्रकाशन

सादर करणारा वेब सामग्री व्यवस्थापन प्रणालीचे प्रकाशन वर्डप्रेस 5.2. प्रकाशन त्याच्या पूर्णत्वासाठी उल्लेखनीय आहे सहा वर्षांचे महाकाव्य अंमलबजावणी वर संधी डिजिटल स्वाक्षरी वापरून अद्यतने आणि जोडणे तपासत आहे.

आतापर्यंत, वर्डप्रेसमध्ये अपडेट्स इन्स्टॉल करताना, मुख्य सुरक्षा घटक म्हणजे वर्डप्रेस इन्फ्रास्ट्रक्चर आणि सर्व्हरवरील विश्वास (डाउनलोड केल्यानंतर, स्त्रोताची पडताळणी न करता हॅश तपासला गेला). जर प्रकल्पाच्या सर्व्हरशी तडजोड केली गेली असेल, तर हल्लेखोर अपडेटची फसवणूक करण्यात आणि स्वयंचलित अपडेट इन्स्टॉलेशन सिस्टम वापरणाऱ्या वर्डप्रेस-आधारित साइट्समध्ये दुर्भावनापूर्ण कोड वितरित करण्यास सक्षम होते. पूर्वी वापरल्या गेलेल्या ट्रस्ट डिलिव्हरी मॉडेलच्या अनुषंगाने, अशा प्रतिस्थापनाकडे वापरकर्त्यांचे लक्ष गेले नसते.

ही वस्तुस्थिती लक्षात घेऊन दिले w3techs प्रकल्पातील, वर्डप्रेस प्लॅटफॉर्म नेटवर्कवरील 33.8% साइट्सवर वापरला जातो, ही घटना आपत्तीच्या प्रमाणात घेतली गेली असती. त्याच वेळी, पायाभूत सुविधांच्या तडजोडीचा धोका काल्पनिक नव्हता, परंतु अगदी वास्तविक होता. उदाहरणार्थ, अनेक वर्षांपूर्वी सुरक्षा संशोधकांपैकी एक प्रात्यक्षिक केले एक असुरक्षा ज्याने आक्रमणकर्त्याला त्याचा कोड api.wordpress.org च्या सर्व्हर बाजूला कार्यान्वित करण्यास अनुमती दिली.

डिजिटल स्वाक्षरीच्या बाबतीत, अद्यतन वितरण सर्व्हरवर नियंत्रण मिळविण्यामुळे वापरकर्त्याच्या सिस्टमशी तडजोड होणार नाही, कारण आक्रमण करण्यासाठी, आपल्याला अतिरिक्तपणे संग्रहित केलेली खाजगी की प्राप्त करणे आवश्यक आहे, ज्यासह अद्यतनांवर स्वाक्षरी केली जाते.

डिजिटल स्वाक्षरी वापरून अद्यतनांचे स्त्रोत तपासण्याच्या अंमलबजावणीत अडथळा आला कारण आवश्यक क्रिप्टोग्राफिक अल्गोरिदमसाठी समर्थन तुलनेने अलीकडेच मानक PHP पॅकेजमध्ये दिसून आले. लायब्ररीच्या एकत्रीकरणामुळे आवश्यक क्रिप्टोग्राफिक अल्गोरिदम दिसू लागले लिब्सोडियम मुख्य संघाकडे कृपया PHP 7.2. परंतु WordPress मध्ये PHP ची किमान समर्थित आवृत्ती म्हणून सांगितले 5.2.4 रिलीज करा (वर्डप्रेस 5.2 - 5.6.20 वरून). डिजिटल स्वाक्षरीसाठी समर्थन सक्षम केल्याने PHP च्या किमान समर्थित आवृत्तीच्या आवश्यकतांमध्ये लक्षणीय वाढ होईल किंवा बाह्य अवलंबित्व जोडले जाईल, जे होस्टिंग सिस्टममध्ये PHP आवृत्त्यांचा प्रसार पाहता विकसक करू शकत नाहीत.

उपाय होता विकास आणि वर्डप्रेस 5.2 मध्ये लिब्सोडियमच्या संक्षिप्त आवृत्तीचा समावेश - सोडियम कॉम्पॅट, ज्यामध्ये PHP मध्ये डिजिटल स्वाक्षरी सत्यापित करण्यासाठी अल्गोरिदमचा किमान संच लागू केला जातो. अंमलबजावणीमुळे कार्यक्षमतेच्या दृष्टीने इच्छित बरेच काही सोडले जाते, परंतु सुसंगततेची समस्या पूर्णपणे सोडवते आणि प्लगइन विकसकांना आधुनिक क्रिप्टोग्राफिक अल्गोरिदम लागू करण्यास देखील अनुमती देते.

डिजिटल स्वाक्षरी तयार करण्यासाठी अल्गोरिदम वापरला जातो एड००, डॅनियल जे. बर्नस्टीन यांच्या सहभागाने विकसित केले. SHA384 हॅश व्हॅल्यूसाठी डिजिटल स्वाक्षरी व्युत्पन्न केली जाते ज्याची गणना अद्यतन संग्रहणातील सामग्रीवरून केली जाते. Ed25519 मध्ये ECDSA आणि DSA पेक्षा उच्च पातळीची सुरक्षा आहे, आणि ते पडताळणी आणि स्वाक्षरी निर्मितीची उच्च गती दर्शवते. Ed25519 साठी हॅकिंगचा प्रतिकार सुमारे 2^128 आहे (सरासरी, Ed25519 वरील हल्ल्यासाठी 2^140 बिट ऑपरेशन्सची आवश्यकता असेल), जे 256 बिट्सच्या मुख्य आकारासह NIST P-3000 आणि RSA सारख्या अल्गोरिदमच्या प्रतिकाराशी संबंधित आहे. किंवा 128-बिट ब्लॉक सायफर. Ed25519 देखील हॅश टक्कर सह समस्यांना संवेदनाक्षम नाही, आणि कॅशे-टाईमिंग हल्ला किंवा साइड-चॅनेल हल्ल्यांना संवेदनाक्षम नाही.

वर्डप्रेस 5.2 रिलीझमध्ये, डिजिटल स्वाक्षरी पडताळणी सध्या फक्त प्रमुख प्लॅटफॉर्म अद्यतने समाविष्ट करते आणि डीफॉल्टनुसार अद्यतन अवरोधित करत नाही, परंतु केवळ वापरकर्त्याला समस्येबद्दल माहिती देते. पूर्ण तपासणी आणि बायपासची आवश्यकता असल्यामुळे डीफॉल्ट ब्लॉकिंग त्वरित सक्षम न करण्याचा निर्णय घेण्यात आला संभाव्य समस्या. भविष्यात, थीम आणि प्लगइनच्या स्थापनेच्या स्त्रोताची पडताळणी करण्यासाठी डिजिटल स्वाक्षरी पडताळणी जोडण्याचे देखील नियोजित आहे (निर्माते त्यांच्या कीसह प्रकाशनांवर स्वाक्षरी करण्यास सक्षम असतील).

वर्डप्रेस 5.2 मध्ये डिजिटल स्वाक्षरीसाठी समर्थन व्यतिरिक्त, खालील बदल लक्षात घेतले जाऊ शकतात:

• सामान्य कॉन्फिगरेशन समस्या डीबग करण्यासाठी "साइट आरोग्य" विभागात दोन नवीन पृष्ठे जोडली गेली आहेत आणि एक फॉर्म देखील प्रदान केला गेला आहे ज्याद्वारे विकासक साइट प्रशासकांना डीबगिंग माहिती देऊ शकतात;
• "मृत्यूची पांढरी स्क्रीन" ची जोडलेली अंमलबजावणी, जी घातक समस्यांच्या बाबतीत प्रदर्शित केली जाते आणि विशेष क्रॅश रिकव्हरी मोडवर स्विच करून प्लगइन किंवा थीमशी संबंधित समस्यांचे स्वतंत्रपणे निराकरण करण्यात प्रशासकास मदत करते;
• प्लगइनसह सुसंगतता तपासण्यासाठी एक प्रणाली लागू केली गेली आहे, जी वापरलेल्या PHP ची आवृत्ती विचारात घेऊन, वर्तमान कॉन्फिगरेशनमध्ये प्लगइन वापरण्याची शक्यता स्वयंचलितपणे तपासते. प्लगइनला कार्य करण्यासाठी PHP ची नवीन आवृत्ती आवश्यक असल्यास, सिस्टम स्वयंचलितपणे या प्लगइनचा समावेश अवरोधित करेल;
• JavaScript कोड वापरून मॉड्यूल्स सक्षम करण्यासाठी समर्थन जोडले वेबपॅक и गोंगाट;
• एक नवीन privacy-policy.php टेम्पलेट जोडले जे तुम्हाला गोपनीयता धोरण पृष्ठाची सामग्री सानुकूलित करण्यास अनुमती देते;
• थीमसाठी, wp_body_open हुक हँडलर जोडला गेला आहे, जो तुम्हाला बॉडी टॅग नंतर लगेच कोड घालण्याची परवानगी देतो;
• PHP च्या किमान आवृत्तीसाठी आवश्यकता 5.6.20 पर्यंत वाढवण्यात आली आहे; प्लगइन आणि थीममध्ये आता नेमस्पेसेस आणि निनावी फंक्शन्स वापरण्याची क्षमता आहे;
• 13 नवीन चिन्ह जोडले.

याव्यतिरिक्त, आपण उल्लेख करू शकता शोध वर्डप्रेस प्लगइनमधील गंभीर असुरक्षा WP थेट गप्पा (CVE-2019-11185). भेद्यता अनियंत्रित PHP कोडला सर्व्हरवर कार्यान्वित करण्यास अनुमती देते. IKEA, Adobe, Huawei, PayPal, Tele27 आणि McDonald's सारख्या कंपन्यांच्या साइट्ससह अभ्यागतांशी परस्परसंवादी चॅट आयोजित करण्यासाठी प्लगइनचा वापर 2 हजारांहून अधिक साइट्सवर केला जातो (लाइव्ह चॅट बहुतेकदा पॉप-अप त्रासदायक लागू करण्यासाठी वापरला जातो. कर्मचार्‍यांशी चॅट ऑफरसह कंपनीच्या साइट्सवर चॅट).

सर्व्हरवर फायली अपलोड करण्याच्या कोडमध्ये समस्या स्वतः प्रकट होते आणि आपल्याला वैध फाइल प्रकारांची तपासणी बायपास करण्याची आणि सर्व्हरवर PHP स्क्रिप्ट अपलोड करण्याची आणि नंतर वेबद्वारे थेट कार्यान्वित करण्याची परवानगी देते. विशेष म्हणजे, मागील वर्षी लाइव्ह चॅट (CVE-2018-12426) मध्ये एक समान भेद्यता आधीच ओळखली गेली होती, ज्याने सामग्री-प्रकार फील्डमध्ये भिन्न सामग्री प्रकार निर्दिष्ट करून, प्रतिमेच्या वेषात PHP कोड लोड करण्याची परवानगी दिली होती. निराकरणाचा भाग म्हणून, श्वेतसूची आणि MIME सामग्री प्रकारासाठी अतिरिक्त तपासण्या जोडल्या गेल्या आहेत. असे दिसून आले की, या तपासण्या चुकीच्या पद्धतीने अंमलात आणल्या गेल्या आहेत आणि सहजपणे बायपास केल्या जाऊ शकतात.

विशेषतः, “.php” विस्तारासह फायली थेट अपलोड करण्यास मनाई आहे, परंतु “.phtml” विस्तार, जो अनेक सर्व्हरवर PHP दुभाष्याशी संबंधित आहे, ब्लॅकलिस्टमध्ये जोडला गेला नाही. श्वेतसूची केवळ प्रतिमा अपलोड करण्यास अनुमती देते, परंतु तुम्ही दुहेरी विस्तार निर्दिष्ट करून त्यास बायपास करू शकता, उदाहरणार्थ, “.gif.phtml”. PHP कोडसह टॅग उघडण्यापूर्वी, फाइलच्या सुरूवातीस MIME प्रकार तपासण्याला बायपास करण्यासाठी, "GIF89a" ओळ निर्दिष्ट करणे पुरेसे होते.

स्त्रोत: opennet.ru