Η μεγαλύτερη μάχη της ομάδας ασφάλειας του WordPress δεν είναι ενάντια στους hackers αλλά στους ίδιους τους χρήστες της πλατφόρμας.
Εκατομμύρια από αυτούς συνεχίζουν να τρέχουν ιστοσελίδες σε παλαιότερες εκδόσεις του WοrdPress CMS οι οποίοι συχνά αποτυγχάνουν να προστατεύσουν τον πυρήνα, plugins και θέματα από επιθέσεις.
Μιλώντας στο συνέδριο για την ασφάλεια του κυβερνοχώρου DerbyCon νωρίτερα αυτό το μήνα, ο Aaron Campbell του WordPress Security Team έδωσε στο κοινό μια εικόνα για το πώς WordPress ασχολείται με το συγκεκριμένο θέμα τα τελευταία χρόνια.
Περιέγραψε τη διαδικασία αυτή σαν μια στροφή εστίασης, καθώς η ομάδα του WordPress αποφάσισε αντί να διατηρήσει το λογισμικό ασφαλές με την επιδιόρθωση σφαλμάτων, να επικεντρωθεί στη διατήρηση της ασφάλειας των χρηστών, μέσω του λογισμικού αλλά και των ενεργειών τους.
“Το πρώτο που μάθαμε ήταν ότι οι χρήστες είναι πιο σημαντικοί από το λογισμικό”, ανέφερε ο Campbell στο κοινό.
Το κύριο ζήτημα είναι ότι εκατομμύρια χρήστες εξακολουθούν να χρησιμοποιούν παλαιότερες εκδόσεις του WordPress για τις σελίδες τους. Οι παλαιότερες εκδόσεις είναι τεχνικά ασφαλείς, αλλά αντιμετωπίζουν περισσότερους κινδύνους από τις πιο πρόσφατες εκδόσεις.
Έτσι μετά από μεγάλες εσωτερικές συζητήσεις, η ομάδα του WοrdPress αποφάσισε να υποστηρίξει αυτές τις παλαιότερες εκδόσεις επειδή πολλοί χρήστες τις χρησιμοποιούν ακόμα. Η απόφαση έχει και τα μειονεκτήματά της καθώς θα έπρεπε να υποστηριχτούν εγκαταστάσεις με κενά ασφαλείας πέντε ετών.
Σαν ομάδα ασφαλείας αυτό είναι πολύ δύσκολο (η διαδικασία του backport patching).
Προσπαθούμε να βρούμε τρόπους να αναβαθμίσουμε αυτές τις εκδόσεις αυτόματα χωρίς να χαλάσουμε τις ιστοσελίδες, προσπαθώντας ουσιαστικά να τις εξαφανίσουμε από το διαδίκτυο.
Ένας από τους τρόπους που χρησιμοποιεί η ομάδα της WordPress είναι οι αυτόματες ενημερώσεις μέσω ενός μηχανισμού που κυκλοφόρησε με το WοrdPress 3.7, το 2013.
Οι αυτόματες ενημερώσεις είναι ενεργοποιημένες από προεπιλογή για όλες τις νέες εγκαταστάσεις και φαίνεται να βοηθούν στην διατήρηση των εγκαταστάσεων σε πρόσφατες εκδόσεις.
Η ομάδα WordPress δημιούργησε επίσης μια ειδοποίηση που εμφανίζεται στον πίνακα ελέγχου του WordPress όταν οι χρήστες χρησιμοποιούν παλαιότερες εκδόσεις της PHP.
Ο Campbell ανέφερε επίσης ότι η ομάδα του WοrdPress συνεργάζεται με τους προγραμματιστές των πιο δημοφιλών plugins και αυτό έχει αποφέρει εξαιρετικά αποτελέσματα, καθώς τα μικρότερα πρόσθετα έχουν αρχίσει να ακολουθούν (ή να κλέβουν) τις τεχνικές κωδικοποίησης που χρησιμοποιούνται από τα μεγαλύτερα projects.
Έτσι έμμεσα η ασφάλεια έχει αυξηθεί σε όλα σχεδόν τα plugins.
____________________
Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ….
