WordPress 5.2 arriva la firma digitale per attacchi supply chain

E adesso veniamo a paralrvi del nuovo build aggiornato alla versione WordPress 5.2. E’ stato rilasciato nel mese di maggio. Quindi è anche possibile che non abbiate ancora fatto l’aggiornamento alla nuova versione. Vi dico subito che è fondamentale che aggiorniate la vostra versione di WordPress alla 5.2 in quanto verranno introdotte per la prima volta le firme digitali offline per tutti gli aggiornamenti di base come misura di difesa contro possibili attacchi della supply chain, inoltre è stato introdotto il supporto per i temi, e per i plug-in , mentre le traduzioni saranno consegnate in un secondo momento. Tipicamente dopo qualche mese.

Con questo aggiornamento si introduce l’aggiornamento automatico al fine di impedire che venga manipolato il codice nativo. La cosa era possibile prima di questo aggiornamento WordPress 5.2,in quanto non era presente un meccanismo di verifica della firma disponibile per i pacchetti rilasciati dal server di aggiornamento. L’attacco che si può veicolare in queesto caso di chiama supply chain. Vediamo un attimo meglio di iniziare a comprendere meglio il tutto.

Attacco a catena supply chain alla piattaformaWordPress

Vediamo dal diagramma lo schema di attacco alla supply chain di WordPress (Immagine: WordFence)

La Wordfence è molto preoccupata infatti che la piattaforma wordpress che distribuisce i pacchetti di aggiornamento e plugins possa essere oggetto di questi attacchi e in una recente dichiarazione hanno riferito che in caso di attacco alla piattaforma in questione si avrebbe

“Un fallimento di questa portata sarebbe catastrofico per il Web. Inoltre, fornirebbe una massiccia piattaforma di attacco per l’aggressore, che controllerebbe milioni di account di web hosting da cui potrebbero lanciare ulteriori attacchi”

Per questo motivo l’organizzazione che gestisce il CMS è corsa al riparo con l’introduzione della firma.

Cambiamenti introdotti nella versione WordPress 5.2

Infatti la funzionalità di firma digitale offline inclusa nel build di WordPress 5.2 si presenta come un “primo vero livello di difesa contro un’infrastruttura di aggiornamento che sia stata compromessa da un attacco esterno, come ha brillantemente spiegato da Scott Arciszewski, della Paragon Initiative Enterprises.

Spiega infatti Arciszewski :

Prima di WordPress 5.2, se volevi infettare um qualsiasi sito originario della piattofrma CMS WordPress su Internet (ossia facendo una facile stima vi stiamo parlando di circa il 33,8% dei siti web ), dovevi semplicemente hackerare il loro server di aggiornamento. In questa maniera, potevi ingannare la funzione di aggiornamento automatico per scaricare e installare non il codice che dovevi installare, ma uno arbitrario. Naturalmente anche se non ve lo diciamo in questo codice arbitrario aveva presente al suo interno ogni genere di schifezza come ad esempio, botnet DDoS….

Dopo l’upgrade alla versione WordPress 5.2, sarà sempre possibile farlo ma occorrerà prima conoscere la chiave di firma dal team di sviluppo principale di WordPress che ha rilasciato l’aggiornamento stesso.

Al momento solo gli aggiornamenti core di WordPress sono firmati crittograficamente, in futuro lo stesso trattamento verrà quindi riservato anche a plugins e template.

È inoltre prevista una funzionalità di firma del codice per gli sviluppatori, che consente loro di “firmare le proprie versioni e pubblicare queste firme (e relativi metadati) in un registro crittografico solo in append .. Una volta fatto, l’aggiornamento automatico di WordPress sarà finalmente sicuro. “

Ovviamente si tratta solamente di un primo passo. Ma insomma se hanno iniziato a metterci le mani è perchè hanno compreso che il problema stava iniziando a diventare fin troppo complesso…