WordPress โปรแกรมสร้างคีย์ความปลอดภัย

WordPress โปรแกรมสร้างคีย์ความปลอดภัย นี้ช่วยสร้างคีย์ความปลอดภัยและเกลือ (Salts) ที่ปลอดภัยตามหลักการเข้ารหัสสำหรับไฟล์ wp-config.php ของคุณ สตริงที่ไม่ซ้ำกันทั้ง 8 ชุดนี้จะช่วยปกป้องเซสชันผู้ใช้ ป้องกันการปลอมแปลงคุกกี้ และป้องกันการโจมตีแบบ CSRF สร้างขึ้นโดยใช้ CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) โดยแต่ละคีย์จะไม่ถูกจัดเก็บหรือบันทึกไว้

WordPress Security Keys และ Salts คืออะไร?

WordPress ใช้ ค่าคงที่ทางคริปโตกราฟี 8 ชุด ในไฟล์ wp-config.php เพื่อรักษาความปลอดภัยในการตรวจสอบสิทธิ์ สี่ชุดคือ คีย์ (keys) (ความลับหลักในการเข้ารหัส) และอีกสี่ชุดคือ เกลือ (salts) (ความสุ่มเพิ่มเติมที่ทำให้แฮชแข็งแกร่งขึ้น):

คีย์และเกลือทำงานร่วมกันอย่างไร

เมื่อผู้ใช้เข้าสู่ระบบ WordPress ระบบจะสร้างคุกกี้การตรวจสอบสิทธิ์ คุกกี้นี้จะถูกเข้ารหัสโดยใช้การรวมกันของ คีย์ ความปลอดภัยและ เกลือ ที่สอดคล้องกัน คีย์ทำหน้าที่เป็นความลับหลักในการเข้ารหัส ในขณะที่เกลือจะเพิ่มข้อมูลที่คาดเดาไม่ได้ลงในอัลกอริทึมการแฮช (HMAC) ทำให้ผู้โจมตีทำวิศวกรรมย้อนกลับเพื่อหาค่าคุกกี้ได้ยากขึ้นอย่างทวีคูณ แม้ว่าพวกเขาจะดักจับข้อมูลได้ก็ตาม

หากไม่มีคีย์และเกลือที่เหมาะสม WordPress จะใช้ค่าเริ่มต้นที่อ่อนแอกว่าและเหมือนกันในทุกการติดตั้ง ทำให้ไซต์ของคุณเสี่ยงต่อการโจมตีผ่านคุกกี้

วิธีติดตั้งคีย์ความปลอดภัยของคุณ

1. สร้างคีย์ โดยใช้เครื่องมือนี้ตามการตั้งค่าที่คุณต้องการ
2. คัดลอกคีย์ทั้งหมด โดยใช้ปุ่ม "คัดลอกคีย์ทั้งหมด"
3. เปิด wp-config.php ผ่าน FTP/SFTP ไฟล์นี้อยู่ในไดเรกทอรีรากของ WordPress ของคุณ
4. ค้นหาส่วนคีย์ — มองหาคอมเมนต์ /* Authentication Unique Keys and Salts */
5. แทนที่บรรทัด define() ทั้ง 8 บรรทัด ด้วยคีย์ที่สร้างขึ้นใหม่ของคุณ จากนั้นบันทึกและอัปโหลด

หมายเหตุ: การเปลี่ยนคีย์ความปลอดภัยจะทำให้ผู้ใช้ที่เข้าสู่ระบบอยู่ในปัจจุบันทั้งหมดถูกออกจากระบบ พวกเขาจะต้องเข้าสู่ระบบใหม่ด้วยรหัสผ่าน นี่เป็นพฤติกรรมปกติและมีประโยชน์ในแง่ของความปลอดภัย

คุณควรเปลี่ยนคีย์ความปลอดภัยเมื่อใด?

ความยาวคีย์และเอนโทรปี

เอนโทรปี (Entropy) คือการวัดความสุ่ม (ความคาดเดาไม่ได้) ของคีย์ของคุณในหน่วยบิต เอนโทรปีที่สูงขึ้นหมายถึงชุดค่าผสมที่เป็นไปได้มากขึ้นที่ผู้โจมตีต้องพยายามสุ่ม ตัวอย่างเช่น:

• 128 บิต — ขั้นต่ำที่แนะนำสำหรับแอปพลิเคชันการเข้ารหัสส่วนใหญ่
• 256 บิต — ถือว่าไม่สามารถเจาะได้ด้วยเทคโนโลยีปัจจุบัน (ระดับ AES-256)
• 400+ บิต — คีย์มาตรฐาน 64 ตัวอักษรของ WordPress พร้อมชุดตัวอักษรแบบเต็ม ให้เอนโทรปีประมาณ 406 บิต

แม้แต่คีย์มาตรฐาน 64 ตัวอักษรพร้อมชุดตัวอักษรแบบเต็มก็เกินกว่าที่การโจมตีแบบ brute-force จะเจาะเข้าไปได้

แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัย

• ห้ามแชร์คีย์ของคุณ — ปฏิบัติต่อคีย์เหมือนรหัสผ่าน
• ใช้คีย์ที่ไม่ซ้ำกัน สำหรับการติดตั้ง WordPress แต่ละแห่ง
• ห้ามใช้คีย์ซ้ำ ในหลายเว็บไซต์
• รักษาความปลอดภัยไฟล์ wp-config.php — ตรวจสอบการอนุญาตไฟล์ที่เหมาะสม (ปกติคือ 440 หรือ 400)
• คีย์เพียงอย่างเดียวไม่เพียงพอ — ควรใช้รหัสผ่านที่แข็งแรง อัปเดต WordPress อยู่เสมอ และใช้ปลั๊กอินความปลอดภัย

คำถามที่พบบ่อย

WordPress security keys และ salts คืออะไร?

WordPress security keys และ salts คือสตริงที่ใช้ในการเข้ารหัสซึ่งจัดเก็บไว้ในไฟล์ wp-config.php เพื่อเข้ารหัสข้อมูลในคุกกี้ของผู้ใช้ ประกอบด้วย 4 คีย์ (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) และ 4 เกลือที่สอดคล้องกัน เมื่อใช้งานร่วมกันจะช่วยให้ผู้บุกเบิกแทบจะเป็นไปไม่ได้เลยที่จะปลอมแปลงคุกกี้การตรวจสอบสิทธิ์

ฉันจะเพิ่มคีย์ความปลอดภัยใน wp-config.php ได้อย่างไร?

เปิดไฟล์ wp-config.php ของคุณ (ในไดเรกทอรีรากของ WordPress) ค้นหาส่วนที่ระบุว่า "Authentication Unique Keys and Salts" และแทนที่บรรทัด define() เดิมด้วยคีย์ที่คุณสร้างขึ้นใหม่ บันทึกไฟล์และอัปโหลดใหม่ผ่าน FTP/SFTP โดยผู้ใช้ทั้งหมดจะต้องเข้าสู่ระบบใหม่อีกครั้ง

ฉันควรเปลี่ยนคีย์ความปลอดภัย WordPress เมื่อใด?

ควรเปลี่ยนคีย์ความปลอดภัยทันทีหากคุณสงสัยว่าเว็บไซต์ถูกแฮ็ก หากคุณพบบัญชีผู้ดูแลระบบที่ไม่รู้จัก หรือหลังจากล้างมัลแวร์ออกแล้ว ในสถานการณ์ปกติคุณไม่จำเป็นต้องหมุนเวียนคีย์ตามกำหนดการประจำ การเปลี่ยนคีย์จะบังคับให้ผู้ใช้ที่เข้าสู่ระบบอยู่ทั้งหมดต้องตรวจสอบสิทธิ์ใหม่

เครื่องมือสร้างคีย์นี้ปลอดภัยหรือไม่? มีการเก็บคีย์ไว้ที่ไหนไหม?

ใช่ เครื่องมือสร้างนี้ใช้โมดูล secrets ของ Python ที่ปลอดภัยตามหลักการเข้ารหัส (CSPRNG) คีย์จะถูกสร้างขึ้นฝั่งเซิร์ฟเวอร์ในแต่ละคำขอและจะไม่ถูกจัดเก็บ บันทึก หรือแคชไว้ ผลลัพธ์จะรวมส่วนหัว no-cache เพื่อป้องกันไม่ให้เบราว์เซอร์เก็บแคช

ข้อแตกต่างระหว่าง WordPress keys และ salts คืออะไร?

WordPress keys ทำหน้าที่เข้ารหัสข้อมูลคุกกี้ ในขณะที่ salts จะเพิ่มความสุ่มพิเศษเข้าไปในกระบวนการเข้ารหัส คีย์ทำหน้าที่เป็นความลับหลักในการเข้ารหัส และ salts ทำให้การโจมตีแบบ brute-force ยากขึ้นอย่างมากด้วยการเพิ่มข้อมูลที่คาดเดาไม่ได้ลงในฟังก์ชันแฮช ทั้งสองอย่างจำเป็นต่อความปลอดภัยที่แข็งแกร่งของ WordPress

จะเกิดอะไรขึ้นหากฉันเปลี่ยนคีย์ความปลอดภัย WordPress?

การเปลี่ยนคีย์ความปลอดภัย WordPress จะทำให้คุกกี้การตรวจสอบสิทธิ์ที่มีอยู่ทั้งหมดใช้ไม่ได้ ซึ่งหมายความว่าผู้ใช้ที่เข้าสู่ระบบทุกคน (รวมถึงคุณ) จะถูกออกจากระบบและต้องเข้าสู่ระบบใหม่ด้วยชื่อผู้ใช้และรหัสผ่าน นี่เป็นฟีเจอร์ความปลอดภัยที่มีประโยชน์มากหลังจากการถูกเจาะข้อมูล

แหล่งข้อมูลเพิ่มเติม

• แหล่งข้อมูลสำหรับนักพัฒนา WordPress - คีย์ความปลอดภัย
• Cryptographically Secure PRNG - Wikipedia