با این حال ، تیم پشت سر وردپرس همچنین مسئولیت برخی از اینها را بر عهده دارد. از این گذشته ، هیچ کاری نمی توانید برای محافظت از هسته اصلی وردپرس انجام دهید.
اگر سوال امنیت وردپرس به اندازه هر شخصی که سعی در انجام امور آنلاین دارد ، شما را آزار می دهد ، ادامه مطلب را بخوانید.
من قصد دارم در مورد بخشی از داستان در مورد مسائل امنیتی وردپرس و آنچه که پروژه وردپرس در مورد آن انجام می دهد صحبت کنم.
تاریخچه مختصری از موضوعات امنیتی وردپرس
مشکل لزوما این نیست که وردپرس یک سیستم مدیریت محتوای ضعیف است ، مستعد تلاش برای هک و ایجاد حفره های امنیتی. به احتمال زیاد مسئله دید است. وردپرس محبوب ترین CMS در سراسر جهان است ، بنابراین مطمئناً هدف ساده ای برای هکرها خواهد بود.
وردپرس معمولاً به صورت آنلاین مورد انتقاد قرار می گیرد (در وبلاگ ها، انجمن ها، پادکست ها و غیره.) بنابراین ، نقاط ضعف سیستم عامل کاملاً شناخته شده است. منطقی خواهد بود که هکرها در وهله اول وب سایت های وردپرس را هدف قرار دهند ، درست نیست؟
ایمنی یک بحث اصلی برای همه است وبلاگ وردپرس یا توسعه وب با توجه به پروژه وردپرس (تیم مسئول مدیریت امنیت پلتفرم)، آنها همیشه وصله های امنیتی را منتشر می کنند. آیا اعلان‌های به‌روزرسانی خودکار را که هنگام ورود به داشبورد دریافت می‌کنید، می‌شناسید؟ "وردپرس به 4.7.2 به روز شده است" یا چیزی شبیه به آن؟ خوب، معمولاً وقتی می‌بینید این نسخه‌های کوچک منتشر می‌شوند، به این دلیل است که تیم باید یک مشکل امنیتی را برطرف می‌کرد.
و این اغلب اتفاق می افتد:
La نقض اطلاعات Panama Papers به از 2016 ، بخشی از آن به یک آسیب پذیری در افزونه Revolution Slider WordPress تعلق گرفت.
با این اوصاف ، اطمینان یافتن از اینکه وردپرس چگونه یک نقض امنیتی اخیراً و با اهمیت را که ناشی از REST API است ، انجام داد ، اطمینان بخش خواهد بود.
در اینجا نحوه کار پیش آمده است:
- در ژانویه 2017 ، وردپرس بروزرسانی 4.7.2 را منتشر کرد. در هیچ جایی از لیست به روزرسانی ها یا اصلاحات ، وصله امنیتی ذکر نشده است.
- حدود یک هفته بعد ، وردپرس به کاربران اطلاع داد که واقعاً نقص امنیتی در این به روزرسانی شناسایی و اصلاح شده است.
- دلیلی که آنها برای تأخیر در اطلاع رسانی به کاربران آورده اند؟ زیرا آنها می خواستند قبل از اینکه هکرها از وردپرس با خبر شوند و این مشکل را حل کنند ، به آنها مهلت دهند تا هسته را به روز کنند.
البته این در حالی نیست که هکرها مانع از تغییر شکل 1,5 میلیون سایت وردپرسی شوند. همچنین کاربران وردپرس هستند که هرگز CMS را بروزرسانی نکرده اند (یا این کار را خیلی دیر انجام داده اند) که در برابر حمله آسیب پذیر هستند.
بنابراین حتی اگر سرانجام یک وصله توسط وردپرس منتشر شد و آنها تبلیغات خود را با درایت لازم انجام دادند ، در این روند بیش از یک میلیون سایت آسیب دیدند. و بدتر از آن ، بسیاری از دارندگان وب سایت ها حتی پس از وقوع این تخریب را نادیده گرفتند.
تکه های امنیتی به نظر می رسد که بیشتر و بیشترین میزان سو استفاده در سال 2015 رخ می دهد. هرچه تعداد بیشتری از این موارد اتفاق می افتد ، برای شما مهم است که بدانید چه کسی مسئول امنیت وردپرس است و چه کارهایی می توانید انجام دهید تا مطمئن شوید که از شما محافظت می شود.
آنچه باید درباره پروژه وردپرس بدانید (و امنیت آن)
در اینجا مواردی است که باید درباره پروژه وردپرس بدانید و اینکه آنها برای چه کاری انجام می دهند حفظ امنیت هسته .
تیم امنیتی وردپرس
ابتدا اجازه دهید در مورد پروژه وردپرس صحبت کنیم. این تیم امنیتی از حدود 25 نفر تشکیل شده است که همه از متخصصان توسعه یا امنیت وردپرس هستند. در حال حاضر ، نیمی از افراد در پروژه وردپرس برای Automattic کار می کنند.
این تیم از کارشناسان مسئول شناسایی خطرات امنیتی در هسته هستند. آنها همچنین مسئول بررسی مسائل احتمالی با مضامین یا افزونه های ارسالی توسط اشخاص ثالث و ارائه توصیه هایی در مورد چگونگی سخت شدن ابزارهای خود یا اصلاح تخلفات شناخته شده هستند.
اگرچه آنها معمولاً به تنهایی برای شناسایی و حل این مشکلات کار می کنند، اما گهگاه با کارشناسان دیگر در این زمینه، به ویژه کارشناسان شرکت های امنیتی و نرم افزاری مشورت می کنند.محل اقامت.
چگونه وردپرس خطرات امنیتی را مشخص می کند
همانطور که انتظار دارید ، تیم پروژه وردپرس مانند یک ماشین روغن کاری شده خوب کار می کند. در اینجا نحوه کار برای شناسایی و حل خطرات امنیتی آمده است:
- مشکلی توسط شخصی از تیم امنیتی یا خارج از تیم شناسایی می شود. اعضایی که عضو این پروژه نیستند می توانند با ارسال ایمیل به این موارد شناسایی شده ارتباط برقرار کنند [ایمیل محافظت شده].
- گزارشی ثبت می شود و تیم امنیتی رسید را تأیید می کنند.
- سپس اعضای تیم به طور خصوصی روی یک سرور خصوصی با هم کار می کنند تا صحت تهدید را تأیید کنند.
- این جایی است که آنها آسیب پذیری های امنیتی شناسایی شده را ردیابی ، آزمایش و تعمیر می کنند.
- سپس وصله امنیتی به نسخه بعدی WordPress Minor اضافه می شود.
- برای تعمیرات کمتر جدی ، وردپرس به سادگی هنگام وقوع ارسال خودکار ، داشبورد وردپرس را به کاربران اطلاع می دهد.
- برای موارد فوری ، پست بلافاصله منتشر می شود و WordPress.org آن را در صفحه اخبار سایت اعلام می کند.
البته ، همانطور که در 4.7.2 مشاهده کردیم ، وردپرس همیشه این اصلاحات امنیتی را اعلام نمی کند (به دلایل معتبر) ، گرچه آنها همیشه برای رفع آنها بلافاصله اقدام می کنند.
به روزرسانی های خودکار توجه داشته باشید
از نسخه 3.7 ، وردپرس امکان ارسال خودکار به روزرسانی های جزئی به همه وب سایت ها را دارد. این اطمینان می دهد که تیم امنیتی وردپرس می تواند به موقع اصلاحات فوری را دریافت کند و منتظر موافقت و به روزرسانی کاربران در هر یک از وب سایت های خود نباشد.
با این وجود این امکان وجود دارد که کاربران وردپرس این به روزرسانی های خودکار را خاموش کنند. اگر این مورد برای شما مناسب است ، توجه داشته باشید که این سایت می تواند سایت شما را در معرض خطر قرار دهد ، به خصوص اگر وقت آن را ندارید که برای آخرین و بهترین به روزرسانی ، تمام سایت های خود را زیر نظر بگیرید.
امنیت پلاگین ها و مضامین
همانطور که مسئولیت ارائه یک تجربه وب بهتر به بازدیدکنندگان، توسعه دهندگان افزونه ها و مضامین وردپرس مسئول ایمنی کاربران خود (یعنی شما) هستند. در حالی که وردپرس نمی تواند ده ها هزار افزونه و تم را مدیریت کند، حداقل می توانند آنها را زیر نظر داشته باشند تا مطمئن شوند که هیچ چیز جدی ممکن است از بین نرود.
پروژه وردپرس تیمی است که در هنگام شناسایی مسئله امنیتی با توسعه دهندگان کار می کند. با این حال ، قبل از آن ، تیمی از داوطلبان برای بررسی هر موضوع یا افزونه ارسال شده به وردپرس مامور شده اند. این تیم برای اطمینان از رعایت بهترین روش ها با توسعه دهندگان همکاری خواهد کرد.
با این حال ، هنوز می توان آسیب پذیری های امنیتی را ایجاد کرد و این زمانی است که تیم امنیتی وردپرس باید وارد عمل شود:
- مستندات را برای توسعه دهندگان وردپرس در مورد توسعه افزونه ها و مضامین و همچنین بهترین روش های امنیتی ارائه دهید.
- افزونه ها و مضامین را برای ایجاد حفره های امنیتی احتمالی کنترل کنید. هر مشکلی که شناسایی شود سپس مورد توجه توسعه دهنده قرار خواهد گرفت.
- اگر برنامه نویسان پاسخ ندهند یا همکاری نکنند ، افزونه ها یا مضامین مضر را از فهرست راهنما حذف کنید.
وردپرس در صورت موجود بودن این اصلاحات امنیتی (یا حذف پلاگین ها و موضوعات بد) از طریق سرپرست وردپرس به کاربران خود اطلاع می دهد.
امنیت وردپرس به هوشیاری شما احتیاج دارد
بعد از گذر از همه اینها ، این موضوع باعث می شود که کمی راحت تر باشم که می دانم یک تیم اختصاصی برای حفظ امنیت هسته وردپرس در همه حال کار می کند. با این حال ، این بدان معنا نیست که من (یا شما) باید احساس راحتی را در خود احساس کنم.
همانطور که دیدیم ، حتی در ژانویه گذشته ، با 1,5 میلیون وب سایت آسیب دیده ، هر چقدر پروژه وردپرس برای نظارت و امنیت سیستم عامل خوب باشد ، هکرها یک راه حل پیدا می کنند.
به همین دلیل مهم است که در همه این موارد سهم خود را ایفا کنید و سایت های خود را از هر زاویه ایمن نگه دارید.
