A vezérlőpult és a Child-webhelyek kapcsolatának biztonsága

A MainWP hitelesíti a webhelykapcsolatokat, és a csatlakozás után a vezérlőpult aláírja a Child-webhelyeknek küldött kéréseket. A kérések és válaszok titkosításához használj HTTPS-es címeket a Child-webhelyeknél.

A kezdeti kapcsolat védelme

A MainWP Child legalább egy kezdeti hitelesítési módszert megkövetel: jelszavas hitelesítést, egyedi biztonsági azonosítót, vagy mindkettőt. A MainWP Child beállításaiban nem kapcsolhatod ki mindkettőt.

Jelszavas hitelesítés

A MainWP a WordPress-rendszergazda jelszavát használja a kezdeti ellenőrzéshez. Alapértelmezetten be van kapcsolva, és biztosítja, hogy csak ellenőrzött rendszergazda hagyhassa jóvá a kapcsolatot. Csak akkor kapcsolható ki, ha az egyedi biztonsági azonosító be van kapcsolva.

Szempont	Részlet
Használat	Csak a kezdeti beállításkor történő ellenőrzéshez
Tárolás	A jelszót a vezérlőpult nem tárolja, és nem küldi a MainWP.com-ra
Csatlakozás után	Webhelyenkénti kulcspár hitelesíti a további kéréseket
Felhasználónkénti beállítás	Minden rendszergazda a saját jelszavas hitelesítését szabályozza
Feltétel	Ha a jelszavas hitelesítés ki van kapcsolva, az egyedi biztonsági azonosítónak be kell lennie kapcsolva

Érdemes külön „MainWP Admin” fiókot létrehozni a webhelyek csatlakoztatásához, amelyet önállóan figyelhetsz vagy módosíthatsz.

Egyedi biztonsági azonosító

Az egyedi biztonsági azonosító a jelszavas hitelesítés alternatívája vagy kiegészítő ellenőrzése a beállításkor. Ha be van kapcsolva, az azonosítónak egyeznie kell a vezérlőpulton és a Child-webhelyen, különben a kapcsolat nem jön létre. Csak akkor választható, ha a jelszavas hitelesítés be van kapcsolva; ha az ki van kapcsolva, az azonosító kötelező.

Csatlakozási időkorlát

A MainWP Child bővítmény bekapcsolás után automatikusan kikapcsolja magát, ha a megadott időn belül (percben) nem jön létre kapcsolat. Ez csökkenti a kitettséget, mert a használaton kívüli bővítmény nem marad elérhető.

A webhely leválasztása

A Webhely leválasztása funkcióval a vezérlőpultról törölheted egy Child-webhely összes kapcsolati adatát. Használd, ha:

• megszüntetsz egy webhelyet;
• újra szeretnéd építeni a biztonságos kapcsolatot;
• a beállítási hibákat hárítod el.

Védelem a csatlakozás után

A webhely hozzáadása után a vezérlőpult a webhely titkos kulcsával írja alá a kéréseket. A MainWP Child a csatlakozáskor mentett nyilvános kulccsal ellenőrzi az aláírást.

Kulcspár létrehozása

Az alapértelmezett OpenSSL-módszerrel a vezérlőpult az első csatlakozáskor hoz létre kulcspárt:

1. A vezérlőpult 2048 bites RSA nyilvános és titkos kulcspárt generál az openssl_pkey_new() függvénnyel.
2. A nyilvános kulcsot a Child-webhely és a vezérlőpult is menti.
3. A titkos kulcs titkosítva, csak a vezérlőpulton van tárolva.

Az 5.3 előtt létrehozott kapcsolatoknál végezd el a titkos kulcs titkosítását, ha még nem tetted. A PHPSecLib alternatíva a kulcsgenerálásra és az aláírásra; az általános vagy webhelyenkénti kapcsolati beállításoknál választható.

Kérések aláírása és ellenőrzése

Az OpenSSL alapértelmezetten SHA-256-tal ír alá.

Lépés	Függvény	Leírás
Aláírás	openssl_sign()	A vezérlőpult a titkos kulccsal kriptográfiai aláírást készít
Ellenőrzés	openssl_verify()	A Child-webhely a nyilvános kulccsal ellenőrzi az aláírást

A Child-webhely csak azokat a kéréseket dolgozza fel, amelyeknek érvényes, a tárolt nyilvános kulccsal egyező aláírásuk van.

HTTPS-titkosítás és tanúsítvány-ellenőrzés

A HTTPS titkosítja a kérések és válaszok tartalmát. Az aláírás hitelesíti a kérést, de a HTTP-kapcsolatot nem titkosítja, ezért a csatlakoztatott Child-webhelyekhez használj HTTPS-címeket. Az SSL-tanúsítvány ellenőrzése alapértelmezetten be van kapcsolva, és állítható globálisan vagy webhelyenként. Tartsd bekapcsolva, hogy a Child-webhely tanúsítványa ellenőrizve legyen.

A kérések felépítése

A vezérlőpult cURL-lel küld kéréseket a Child-webhely beállított címére. A kérések tartalma:

Paraméter	Célja
Felhasználónév	A kapcsolat létrehozásához használt rendszergazda felhasználóneve
Függvény	A Child-webhelyen futtatandó függvény neve
MainWP-aláírás	A kérés ellenőrzéséhez használt hitelesítő aláírás

Példa szinkronizálási kérésre

https://childsite.com/wp-admin/admin-ajax.php?user=demouser&function=stats&mainwpsignature=<aláírás>

Ha a mainwpsignature nem egyezik, a Child-webhely elutasítja a kérést.

A kérések paramétereinek escape-elése

Mielőtt bármilyen kérést elküldene egy Child-webhelynek, a vezérlőpult escape-eli az összes paraméterértéket, hogy megakadályozza a kódbeszúrást. Például a Ugrás a WP-adminra funkció a name és value attribútumokat az esc_attr() függvénnyel escape-eli.

Miért fontos

Ez a védelem olyan helyzetekben segít, amikor a támadó:

1. rávenne egy kézzel összeállított hivatkozás megnyitására;
2. rosszindulatú kódot próbálna átadni a kérésparaméterekben.

Mivel a MainWP minden attribútumot escape-el, a potenciálisan veszélyes kód ártalmatlanná válik, mielőtt eljutna a Child-webhelyig.

A teljes kéréssor

1. Előkészítés: a vezérlőpult escape-eli az összes kérésattribútumot.
2. Továbbítás: a HTTPS-kérés megy a MainWP-aláírással és a paraméterekkel.
3. Ellenőrzés: a Child-webhely a tárolt nyilvános kulccsal ellenőrzi az aláírást.
4. Végrehajtás: csak a hitelesített kérések kerülnek feldolgozásra.