WordPress 6.8 pārslēdzas uz bcrypt: ko darīt ar wp-password-bcrypt Bedrock projektos

WordPress paroles vēsturiski ir bijušas tēma, kur drošības uzlabojumi ienāk pakāpeniski — īpaši, ja runa ir par hešošanas algoritmu izvēli. Līdz šim, ja gribēji modernāku paroļu aizsardzību WordPress projektā, bieži nācās paļauties uz papildu risinājumiem. Ar WordPress 6.8 situācija mainās: kodols pāriet uz bcrypt kā noklusējuma paroļu hešošanas metodi, un tas ietekmē arī populāru Roots ekosistēmas pakotni wp-password-bcrypt.

Šajā rakstā īsi salikšu pa plauktiņiem, ko nozīmē WordPress 6.8 pāreja uz bcrypt, kāpēc wp-password-bcrypt kļūst lieka, un ko praktiski darīt Bedrock vai citos Composer balstītos WordPress projektos.

Kas mainās WordPress 6.8: bcrypt kļūst par standartu

bcrypt ir paroļu hešošanas algoritms, kas ir plaši izmantots un labi pārbaudīts industrijā. Praktiski tas nozīmē izturīgāku aizsardzību pret brute-force un GPU paātrinātiem uzbrukumiem, jo bcrypt ir apzināti “dārgs” (computationally expensive) un atbalsta darba faktoru (cost), ko var pielāgot.

Saskaņā ar WordPress 6.8 izmaiņām kodolā, bcrypt tiek izmantots kā noklusējums paroļu hešošanai. Tas ir būtisks uzlabojums WordPress autentifikācijā, jo tagad modernāka hešošana ir pieejama bez papildu spraudņiem vai pakotnēm.

Kāpēc wp-password-bcrypt vairs nav vajadzīgs

Roots uzturētā pakotne wp-password-bcrypt savulaik aizpildīja robu: tā ļāva WordPress projektiem izmantot bcrypt jau pirms tas bija pieejams kodolā. Tagad, kad WordPress 6.8 to nodrošina pats, šī pakotne kļūst funkcionāli lieka.

Roots ir paziņojuši, ka līdz ar WordPress 6.8 izlaišanu wp-password-bcrypt tiks faktiski “norakstīts” (sunset): pakotni atzīmēs kā abandoned Packagist, izņems atsauces no Bedrock un saistītās dokumentācijas, kā arī arhivēs GitHub repozitoriju.

Ko tas nozīmē esošiem projektiem (labā ziņa: migrācijas nav)

Svarīgākais punkts: ja tavs saits darbojas ar WordPress 6.8 vai jaunāku, tu vari droši noņemt wp-password-bcrypt. Esošās paroles turpinās strādāt, un nav jāveic nekādas manuālas migrācijas darbības.

Ideja ir vienkārša: WordPress kodols pārņem autentifikāciju un, kur tas ir piemērojams, izmanto bcrypt. Rezultātā papildus pakotne vairs nedod vērtību, bet uztur nevajadzīgu atkarību ķēdi.

Kā rīkoties Bedrock/Composer projektā: droša atkarības noņemšana

Ja izmanto Bedrock vai jebkuru citu WordPress setup, kur spraudņi/mu-plugins vai drošības uzlabojumi tiek pārvaldīti caur Composer, rīcības plāns ir ļoti tiešs.

1. Pārliecinies, ka produkcijā (un vispirms staging vidē) projekts ir uz WordPress 6.8+.
2. Atrodi, kur wp-password-bcrypt ir pievienots: parasti tas būs composer.json require sadaļā.
3. Noņem pakotni ar Composer: composer remove roots/wp-password-bcrypt (vai ekvivalenta komanda, ja pakotne pievienota citādi).
4. Izvieto izmaiņas vidē, kur vari droši notestēt pieslēgšanos: admin lietotāji, redaktori, WooCommerce klientu konti u.c.
5. Pārliecinies, ka nav palikušas manuālas integrācijas/bootstraps, kas atsaucas uz šo pakotni (retāk, bet iespējams custom projektos).

# Bedrock/Composer projektā
composer remove roots/wp-password-bcrypt

# Pēc tam parasti seko:
composer install
# un deploy kā ierasts (CI/CD vai manuāli)

# Bedrock/Composer projektā
composer remove roots/wp-password-bcrypt

# Pēc tam parasti seko:
composer install
# un deploy kā ierasts (CI/CD vai manuāli)

Ko gaidīt uzturēšanas pusē (Packagist un GitHub izmaiņas)

Roots plāns ir skaidrs: pakotni atzīmēt kā abandoned Packagist, izņemt no Bedrock dokumentācijas un arhivēt repozitoriju. Praktiski tas nozīmē, ka ilgtermiņā nevajadzētu balstīt drošības kritisku autentifikācijas daļu uz pakotni, kurai vairs netiek paredzēta aktīva attīstība vai uzturēšana.

Kopsavilkums

• WordPress 6.8 kodols izmanto bcrypt kā noklusējuma paroļu hešošanu — tas ir nozīmīgs drošības solis uz priekšu.
• Roots wp-password-bcrypt līdz ar to kļūst lieks WordPress 6.8+ projektiem.
• Pakotni var noņemt bez paroļu migrācijas: esošās paroles turpinās strādāt.
• Roots atzīmēs pakotni kā abandoned un arhivēs repozitoriju, tāpēc atkarību vērts iztīrīt, tiklīdz projekts ir uz 6.8+.