Ora WordPress è più sicuro

WP ottiene finalmente le caratteristiche di sicurezza che un terzo di Internet merita.

WordPress 5.2 rilasciato con supporto per gli aggiornamenti crittograficamente firmati, una moderna libreria crittografica.

Il sistema di gestione dei contenuti WordPress (CMS) è impostato per ricevere oggi un assortimento di nuove funzioni di sicurezza che finalmente aggiungerà il livello di protezione che molti dei suoi utenti hanno desiderato per anni. Queste caratteristiche sono attese con il rilascio ufficiale di WordPress 5.2, previsto per la fine della giornata di oggi. Sono inclusi il supporto per gli aggiornamenti crittograficamente firmati, il supporto per una moderna libreria di crittografia, una sezione Site Health nel backend del pannello di amministrazione, e una funzione che fungerà da sito di protezione WSOD per gli amministratori che accedono al loro backend in caso di catastrofici errori PHP.

Con WordPress installato su circa il 33,8 per cento di tutti i siti internet, queste caratteristiche sono destinate a mettere a placare alcune preoccupazioni riguardo ad alcuni vettori di attacco.

AGGIORNAMENTI CRITTOGRAFICAMENTE FIRMATI

Probabilmente la più grande e la più importante delle nuove funzioni di sicurezza di oggi è il sistema di firma digitale offline di WordPress.

A partire da WordPress 5.2, il team di WordPress firmerà digitalmente i suoi pacchetti di aggiornamento con il sistema di firma a chiave pubblica Ed25519 in modo che un’installazione locale sia in grado di verificare l’autenticità del pacchetto di aggiornamento prima di applicarlo a un sito locale.

L’aggiunta del supporto per gli aggiornamenti crittograficamente firmati è un passo importante per impedire agli hackers di effettuare un attacco della supply-chain su tutti i siti WordPress, cosa sulla quale le società di sicurezza hanno avvertito di tenere presente e di fare per più di due anni.

Prima di WordPress 5.2, se volevi infettare ogni sito WordPress su Internet, dovevi semplicemente hackerare il server di aggiornamento (di WordPress), ha detto Scott Arciszewski, Chief Development Officer di Paragon Initiative Enterprises, e uno degli sviluppatori coinvolti nella messa in sicurezza del sistema di aggiornamento di WordPress.

Dopo WordPress 5.2, è necessario tirare fuori lo stesso attacco e in qualche modo rubare la chiave di firma del team di sviluppo del nucleo di WordPress.

WORDPRESS OTTIENE UNA MODERNA LIBRERIA CRITTOGRAFICA

Ma il lavoro di Arciszewski sul CMS WordPress non si è concluso qui. Ha anche contribuito a WordPress sostituendo una vecchia biblioteca crittografica con una che si adatta ai tempi moderni.

A partire da WordPress 5.2, il CMS supporterà la libreria Libsodium per tutte le operazioni crittografiche, invece del mcrypt, ormai depredato e rimosso. Libsodium fa ora parte del codice sorgente di WordPress CMS, insieme alla libreria sodium_compat di Arciszewski che funziona come polyfill per i vecchi server PHP che non supportano Libsodium. WordPress si unisce ora alle fila dei moderni strumenti web-dev che supportano nativamente Libsodium, come PHP 7.2+, Magento 2.3+ e Joomla 3.8+. Inoltre, con l’aggiunta di Libsodium al core di WordPress CMS, questo significa anche che gli sviluppatori di plugin e temi possono iniziare a supportarlo.

Arciszewski ha pubblicato oggi un post del blog con consigli di base per gli sviluppatori di plugin e temi WordPress su come sostituire le vecchie funzioni crittografiche mcrypt con quelle libsodium.

NUOVA SEZIONE SALUTE DEL SITO

Ma le prime caratteristiche di sicurezza di WordPress 5.2 che gli utenti noteranno nella versione odierna non sono le modifiche al codice del CMS, ma la nuova sezione “Site Health” nel menu Strumenti del pannello di amministrazione. Questa sezione include due nuove pagine, ovvero lo stato di salute del sito e le informazioni sullo stato di salute del sito. La pagina Stato di salute del sito funziona eseguendo una serie di controlli di sicurezza di base e consegnando un rapporto con i risultati, insieme a raccomandazioni per risolvere eventuali problemi rilevati. Questa sezione viene fornita con una serie di test in bundle, ma i proprietari di siti e gli sviluppatori di plugin di sicurezza possono anche scrivere i propri per espandere i controlli di sicurezza a più aree di un sito WordPress.

La seconda sezione, denominata Site Health Info, è ciò che il suo nome implica. Fornisce una moltitudine di informazioni sulla configurazione del sito web e del server ed è destinata a scopi di debug o quando è necessario che il sito sia condiviso con un professionista IT per i servizi di supporto. Vengono fornite informazioni sull’installazione di WordPress, il server sottostante, i plugin, i temi e l’utilizzo di file storage.

CARATTERISTICA SERVHAPPY

Un’altra nuova funzionalità di sicurezza inclusa in WordPress 5.2 è il progetto Servehappy, che inizialmente doveva essere rilasciato con WordPress 5.1, ma è stato diviso in due, con una parte del progetto in distribuzione con WordPress 5.1 e l’altra metà è stata distribuita oggi, con WordPress 5.2.

WordPress 5.1 includeva la possibilità di mostrare avvisi quando i server WordPress erano in esecuzione su server con versioni PHP obsolete. WordPress 5.2, rilasciato oggi, includerà una funzione chiamata ‘White Screen Of Death’ (WSOD) e funziona come “Safe Mode” per i siti WordPress. La protezione WSOD funziona disabilitando temporaneamente i temi e i plugin quando si verifica un errore fatale di PHP, in modo che gli amministratori del sito possano recuperare l’accesso ai backend dei loro siti e correggere l’errore.

La funzione era inizialmente prevista per WordPress 5.1 ma è stata ritardata alla versione 5.2 dopo che i responsabili della sicurezza hanno sollevato diversi scenari in cui gli hacker avrebbero potuto abusare del sistema di protezione WSOD per disattivare i plugin di sicurezza WordPress e lanciare attacchi sui siti WordPress.

PIANI FUTURI

Il lavoro per migliorare la sicurezza di WordPress non si fermerà con il rilascio della versione 5.2. Altri progetti includono il progetto Gossamer, previsto per WordPress 5.4. Il progetto Gossamer mira a portare lo stesso sistema di code-signing utilizzato per i principali aggiornamenti di WordPress in un framework che gli sviluppatori possono utilizzare per gli aggiornamenti di code-sign anche per i temi e i plugin di WordPress.