O núcleo do WordPress é seguro, mas você pode tornar as senhas armazenadas no banco de dados do seu site ainda mais seguras atualizando o hash de senha baseado em MD5 para bcrypt.
Enquanto alguns podem dizer o contrário, o núcleo do WordPress é realmente seguro e não é tão difícil manter o seu site WordPress protegido dos ataques mais comuns, usando um nome de usuário único e uma senha forte, mantendo o software principal atualizado, usando Plugins e temas de autores respeitáveis e mantendo-os atualizados, e usando um plugin de boasegurança .
Implementar apenas algumas medidas de segurança adicionais irá garantir a segurança do seu site tendência para a extrema extremidade superior da curva de sino de segurança. No entanto, se o seu site exige o login do usuário, há um problema adicional de segurança do site que você precisa pensar: criptografia de senha.
Em 1 de março de 2016, a agência de desenvolvimento da WordPress, Roots,anunciou o lançamento do plugin do WP Password bcrypt . O post anunciando o lançamento do plugin foi coberto pelo WP Tavern e foi muito crítico com a equipe de desenvolvimento principal do WordPress encarregada de gerenciar a função de hashing de senha. O resultado foi uma tempestade de fogo em pequena escala no Twitter entre o autor do post e os membros da equipe de desenvolvimento do núcleo do WordPress.
A essência do assunto era que alguns membros da comunidade do WordPress, como Roots, acreditavam que o hash do MD5 deveriam ser descartados imediatamente em favor do bcrypt, e que não o faz demonstraram uma falta de compromisso com a segurança da senha. No entanto, o time que gerencia a wp_hash_passwordfunção manteve que a função produziu resultados seguros como estão.
Como o WordPress Hashing de senha funciona?
Tudo isso de volta e para trás traz a pergunta: como o WordPress criptografa senhas?
A wp_hash_passwordfunção principal do WordPress usa a estrutura de hash de senha e oito passagens do hash baseado em MD5. Enquanto o hash MD5 considerado por si só é basicamente inútil , a função de hashing de senha do WordPress não é um simples hash MD5 de vanilla. A wp_hash_passwordfunção usa a estrutura phpass para combinar alongamento de chave com oito passagens de MD5 para produzir um algoritmo de hashing que é realmente muito bom. No entanto, isso não significa que não pode e não deve ser melhorado.
Quando o phpass é usado, um dos três métodos de hash pode ser implementado: bcrypt, DES e MD5. A recomendação feita pelo desenvolvedor phpass é ir com o bcrypt, uma vez que é o mais forte dos três e retornar ao hash baseado em DES ou MD5 somente se o bcrypt não for suportado. No entanto, ao implementar o hash baseado em MD5, o WordPress é capaz de manter a compatibilidade com as plataformas de hospedagem legadas.
O Phpass fornece criptografia de senha sólida independentemente do método de hashing implementado. No entanto, quando o bcrypt é implementado, leva muito mais tempo para calcular um hash do que quando outros métodos são implementados. A escolha do método de hashing não afeta a experiência dos usuários do site e, se alguém tentar atravessar um banco de dados de senhas hashed, demorará muito mais tempo para decifrar as senhas se o hash bcrypt fosse usado do que se o hash do MD5 fosse usado usava.
No final, a equipe Roots admitiu que o hashing de senha do WordPress era mais forte do que seu post original sugerido, mas sustentou que o hashing com bcrypt era significativamente mais seguro do que a função hashing implementada pela equipe principal do WordPress – uma reivindicação que é suportada por minha pesquisa em a matéria.
Por que Hashing de senha importa
Quase todas as recomendações de segurança que você ouve sobre o WordPress têm a ver com o endurecimento de uma instalação do WordPress para dificultar a infiltração. No entanto, existe um tipo de ameaça muito diferente, especialmente para os sites do WordPress alojados em servidores compartilhados. E se o próprio servidor estiver comprometido e o seu banco de dados WordPress for copiado? Sua instalação do WordPress pode ser sólida, mas se as medidas de segurança do seu host forem contornadas, seu banco de dados poderá ser copiado sem o seu site nunca foi pirateado.
Se isso acontecer, todos os dados de texto simples em seu banco de dados seriam facilmente lidos por quem conseguisse as medidas de segurança do seu host. Somente os dados que não são armazenados em texto simples, como as senhas de seus usuários, ainda estarão protegidos. A segurança dessas senhas criptografadas dependeria da força do método de hash usado para criptografar as senhas.
Embora o método de hashing padrão incorporado no WordPress seja muito bom, o bcrypt é melhor.
Pode parecer trivial se preocupar com hashing de senha quando seu banco de dados foi comprometido. Obviamente, se isso acontecer, o método de hashing pode ser a última coisa em sua mente. No entanto, manter as senhas de usuários seguras mesmo quando estão nas mãos de hackers é extremamente importante.
Mais da metade de todos os usuários da internet reutilizam a mesma senhapara a maioria ou para todas as suas contas. Então, se alguém conseguir o banco de dados do seu site e pode decifrar as senhas, eles terão pelo menos duas informações importantes: endereços de e-mail do usuário e as senhas usadas pelos usuários para criar suas contas em seu site. Armados com essas duas informações, eles poderão acessar as contas de redes sociais, contas de e-mail e outras contas on-line de qualquer usuário que cometeu o erro de reutilizar a mesma senha uma e outra vez.
Usando bcrypt Password Hashing
Na verdade, é bastante fácil mudar da função hash padrão para bcrypt. A função de hashing do WordPress é conectável , o que significa que os plugins podem assumir a função de hashing de senha. Além do plugin desenvolvido e anunciado pela Roots, também há dois plugins já no diretório oficial do Plugin WordPress que substituem o hash bcrypt pelo método hashing padrão.
O Wp-bcrypt foi criado pelo desenvolvedor independente harrym , também conhecido como Harry Metcalfe, diretor-gerente da dxw works , uma agência de desenvolvimento web WordPress e Ruby on Rails com sede em Londres.
Você precisará executar o PHP 5.3+ para executar este plugin. Para instalá-lo, baixe a pasta do plugin do WordPress.org e instale-o manualmente , ou procure-o em Plugins> Adicionar novo na área de administração do WordPress.
Outra opção do WordPress Plugin Directory é WP Hash Password . Este plugin foi criado por um desenvolvedor de plugins independente da Alemanhachamado Ninos Ego. Você pode baixar o arquivo de plugin do WordPress.org e instalá-lo manualmente, ou procurá-lo em Plugins> Adicionar novo na área de administração do WordPress. A mesma limitação de versão do PHP que se aplica ao plugin WP bcrypt também se aplica a este plugin. Então, você precisará executar o PHP 5.3 ou superior para usá-lo.
O plugin do bcrypt da Roots é um pouco diferente dos plugins disponíveis no Diretório de Plugins do WordPress. Ambos os plugins no Diretório de Plug-ins do WordPress usam a mesma estrutura de phpass que o núcleo do WordPress, mas a atualização do MD5 com base em bcrypt hashing. O plugin Roots não conta com o phpass. Em vez disso, ele usa as funções password_hashe password_verifyincorporadas ao PHP 5.5+. Como resultado, você precisa estar executando o PHP 5.5 ou superior para usar esse plugin.
O plugin está disponível como uma biblioteca Composer. Se você já usa o Composer , carregar o plugin com Composer é a maneira mais fácil de começar a funcionar. Se você não usar o Composer para gerenciar sua instalação do WordPress (e a maioria dos nossos leitores provavelmentenão), você pode instalar o plugin manualmente.
Passo 1: Certifique-se de ter uma pasta de plugins para uso obrigatório
O desenvolvedor recomenda instalar o plugin no diretório mu-plugins para que os usuários não possam desativá-lo. Se você nunca trabalhou com plugins de uso obrigatório antes, você precisará criar o diretório. Basta usar um cliente de FTP para acessar o diretório de conteúdo do wp e criar um novo diretório chamado mu-plugins . Se você deseja obter instruções mais detalhadas, o nosso manual do WordPress está coberto .
Passo 2: Baixe o arquivo de plugin do GitHub
O plugin não está disponível no diretório de plug-ins do WordPress. Em vez disso, ele está hospedado no GitHub e está disponível para download gratuito. Dirija-se à página do plugin no GitHub e clique em Baixar ZIP . O plugin será transferido como um arquivo de formato zip para o seu computador.
Passo 3: Instale o Plugin
Primeiro, encontre a pasta zip do plugin baixada em seu computador. Em seguida, extraia o arquivo localmente no seu computador. Em seguida, use um cliente FTP para copiar o arquivo chamado wp-password-bcrypt.php para o diretório mu-plugins no servidor web.
Nota: Ao contrário da maioria dos plugins instalados manualmente, você não deseja copiar toda a pasta do plugin para o servidor. Certifique- se de copiar somente o arquivo chamado wp-password-bcrypt.php e certifique- se de copiá-lo diretamente no diretório mu-plugins .
O plugin será ativado automaticamente. Se você visitar Plugins> Plugins Instalados e clicar em “Usar de Retaque”, você verá que o plug-in do bcrypt da Senha do WP está ativado.
Controver pode ser bom
A escaramuça entre o núcleo e os desenvolvedores principais do WordPress revelou um foco sobre a questão do hash de senha. Agora que a poeira se instalou, sabemos duas coisas:
- A função de hashing incluída no núcleo do WordPress é realmente muito boa.
- Atualizar para bcrypt hashing é fácil e torna o failing de senha dentro do WordPress ainda melhor.
O que você acha? Vale a pena atualizar para bcrypt hashing de senha ou você vai ficar com a wp_hash_passwordfunção padrão ? Deixe-nos saber o que você pensa nos comentários abaixo.
