Grave savā rakstā “Kādēļ es nevēlos lietot WordPress” min vairākus iemeslus kāpēc WordPress platforma ir nedroša.
Nu ko, es piekrītu tam, ko Grave raksta un domāju, ka viņš runā nevis par kaut kādiem mazsvarīgiem sīkumiem, bet gan par nopietnām problēmām, kas raksturīgas pilnīgi VISIEM WordPress dzītiem blogiem.
Lai arī es sevi nevaru saukt par drošības speciālistu, taču man ir kaut blāva nojausma par to, kas ir droši un to, kas ir pagalam nedroši. Un es saprotu, ka droša ir tā sistēma par kuru no malas neko daudz nevar uzzināt. WordPress platforma šeit ir pavisam kliba. Uzstādot blogu ar visām tā noklusētajām vērtībām mēs iegūstam blogu, kas principā (ja ir vajadzība) ir viegli uzlaužams, jo..
- Uzbrucējs zina, kur meklēt administratora lapu, visiem WP blogiem tā ir meklējama šeit: http://bloga_nosaukums.lv/wp-login.php. Tas ir tāpat kā visās iespējamajās vietās Internetā/pilsētā izkārt paziņojumus, ka es dzīvoju tādā mājā, tādā dzīvoklī. WordPress nepiedāvā nekādus rīkus, lai labotu šo situāciju. Ar rociņām to pielabot ir diezgan laikietilpīgi, lai neteiktu vairāk. Ja pieturamies pie ideoloģijas, ka apmeklētājiem pēc iespējas mazāk ir jāzina tas, kas viņiem nav paredzēts, tad bloga administrēšanas lapai būtu jābūt paslēptai aiz trejdeviņām mapēm un ar nosaukumu my_ordinary_post.zum. Atceros kā Laacz savulaik bija asprātīgi iestrādājis lietotāja/paroles ievadi sava bloga headerī.. ;)
- OK, mēs (lasīt, uzbrucējs) tagad zinām, kur jāraksta administratora parole un tas jau ir daudz. Nākamā WordPress muļķība.. Pēc noklusējuma pirmais tiek izveidots lietotājs ar nosaukumu admin un es pieņemu, ka 99% gadījumu lietotājs to nenomaina uz citu, jo.. WordPress nemaz nepiedāvā šādu iespēju. Vienīgā izeja ir līst datubāzē un ar roku (vai skriptu) mainīt lietotāja nosaukumu. Bet ar to nekas daudz nebūs līdzēts, jo te WordPress izceļas ar MEGA idiotisku/debilu/… “asprātību”.. Ja ievadam nepareizu paroli, WP pasaka, ka parole ir ievadīta nepareizi, ja ievadam nepareizu lietotāju, WP pasaka, ka ir nepareizi ievadīts lietotājs. Nu kamōn.. Kurš WP autoriem ir šādi mācījis realizēt drošības lietas? Es saprotu, ka tas ir ērti lietotājam, taču varbūt šādi upurēt uz drošības rēķina nevajadzētu. Tātad, tagad jau ļaundaris zina kur mēs dzīvojam un kā mūs sauc, laiks pievīlēt atslēgas (piemeklēt paroles)..
- Secunia un SecurityFocus labprāt tieši un konkrēti pastāstīs kādas ievainojamības ir kādiem produktiem. WordPress, protams, nav izņēmums – katrai versijai ir papilnam ievainojamību, kuras pārvērst veiksmīgos uzbrukumos var būt gaužām vienkārši. Tā.. mums tikai atliek dabūt blogera Anša izmantotās WP versiju. Tas ir paveicams vienkāršāk par vienkāršu. Atliek vien paskatīties Page source un turpat augšā – pirmajās rindās WP lepni paziņo, ka lieto tādu un tādu versiju. Versija rokā, brienam uz iepriekšpieminētajām drošības lapām un piemeklējam ievainojamības jau pēc savas gaumes un ieskatiem. Ak, džīziņ, ko lai tagad dara? :D WordPress autori iesaka savu tēmu templeitos izvākt rindiņu, kur tiek pieminēta bloga versija. Tas ir īzī paveicams, taču problēmu tas nelikvidē. Atliek vien apskatīties RSS padeves source kodu un arī tur WP lepni izmuldās par savu versiju, taču šoreiz jau to izlabot nav tik vienkārši – jāparakājas pa kodu, ko, protams, tikai retais darīs. Interesanti, ka pat, ja tiek izmantotas FeedBurner RSS padeves, tik un tā source kodā redzams, ka informācija ir nākusi no tādas lūk versijas WP bloga.
Šeit es pieminēju tikai trīs nopietnus drošības robus, taču to ir vēl papilnam. WordPress autori piedāvā palasīties rakstu Hardening WordPress, taču es uzskatu, ka tas viss ir ūdens, silts un viegli sāļgans ūdentiņš. Vai tiešām WP autori sava produkta lietotājus uzskata par tādiem aunapierēm, ja jau raksts ir tāds nekāds, drošības tēmas ir apskatītas ļoti virspusēji un ir tikai kāds viens vai divi reāli izmantojami risinājumi. Taisīt backupus? Kāds sakars tam ar lietotāju? Par to, lai atbild hostinga provaideris.
Tagad jau WordPress blogi ir vienkārši uzstādāmi un tos lieto liels skaits tādu cilvēku, kam nav pilnīgi nekādas sajēgas par drošību un te akmens izstrādātāju lauciņā, jo viņiem ir jābūt tiem, kas cenšās savā produktā nodrošināt drošības mehānismus. Tomēr interesanti, ka vismaz pagaidām neesmu dzirdējis par masveidīgu WordPress blogu fakošanu (uzlaušanu). Laikam jau tas nevienam tā īsti nav vajadzīgs. Tikpat labi es uzskatu, ka, ja kādam radīsies reāla vajadzība uzlaust kādu blogu, tad to varēs izdarīt. Es pieturos pie uzskatiem, ka pilnīgi viss, ko cilvēks ir uzbūvējis, ir uzlaužams. Tas ir tikai laika un resursu jautājums. Vienīgais, ko var darīt, tad tas ir lūkoties, lai vienmēr tiktu veidotas sava darba rezerves kopijas un censties, lai pēc iespējas mazāk lietotājam nevajadzīgas (uzlauzējam noderīgas) informācijas tiktu parādīts.
Es iesaku raksta autoram Grave pārtulkot savu rakstu angļu mēlē, pievienot vēl kāda roba aprakstu un pabazūnēt par šo lietu inglišspīking pasaulē. Kas zin, varbūt WordPress autori piedomās par šīm lietām vairāk savās nākamajās relīzēs.
Diskusijas par šo tematu raisās arī @ digg.lv.
P.S. Jā, esmu nomainījis jūzerneimu un visu nobekapojis.. :D :D :D Gulēšu mierīgu sirdi.. :D :D
Iesaku izlasīt:
- Upgraded to WordPress 2.0.4
- WordPress latviskošana
- Divi nozīmīgi jaunumi visiem WordPress faniem
- 83 lieliskas WordPress tēmas
- WordPress 2.1 Release Candidate 1 ir pieejams ielādei
