CLI per la Gestione della Chiave di Crittografia di Magento 2

Un'utilità per la rotazione e la gestione della chiave di crittografia di Magento 2. Le vittime di CVE-2024-34102 (aka Cosmic Sting) possono usarla come assistenza post-rimedio.

Progettato per

• Uso in sviluppo
• Automazione del deployment
• Assistenza post-rimedio per CVE-2024-34102 (aka Cosmic Sting)

CVE-2024-34102 (aka Cosmic Sting)

Dopo aver applicato le patch di sicurezza, è necessario eseguire una rotazione della chiave per negare completamente all'attaccante l'accesso WebAPI a livello Admin.

Se non puoi aggiornare o applicare la patch isolata ufficiale, vedi Le nostre patch.

Se il comando ufficiale di rotazione della chiave di crittografia php bin/magento encryption:key:change non è disponibile, puoi usare questa estensione, che offre inoltre più funzionalità come "Key Manager".

Utilizzo

Questa estensione offre 3 comandi.

• Genera una nuova chiave di crittografia (per scopi di sviluppo/scripting)

php bin/magento ww:encryption-key-manager:genkey [-f|--format FORMAT]

Esempio:

$ php bin/magento ww:encryption-key-manager:genkey
5f81fe506a1025b8ea439fd49c6fa8e3

• Elenca tutte/le più recenti chiavi di crittografia

php bin/magento ww:ekm:list [--newest]

Suggerimento: puoi usare l'abbreviazione ekm al posto di encryption-key-manager.

Esempio:

$ php bin/magento ww:ekm:list
Encryption key count: 3
39a2f1213e6a942af3cd4f1c2d61528c
fdd862cd41f95e4edaf2636258ce359f
3cd27f0eeae9ffec35681d8aa0faa618

• Rotazione della chiave di crittografia (la più importante)

php bin/magento ww:encryption-key-manager:rotate [-k|--key KEY]

Suggerimento: se -k|--key non viene fornito, verrà usata una chiave generata casualmente.

Esempio:

$ php bin/magento ww:encryption-key-manager:rotate
Encryption key has been rotated successfully.
Encryption keys are stored in `app/etc/env.php`. Caution: do not delete old keys!

Formato della Nuova Chiave di Crittografia

A partire dalla versione 2.4.7, il formato della chiave di crittografia è cambiato da hex a base64.

Esempio del nuovo formato (nota il prefisso base64):

base64bDr+HSz4tZ+cjZA89J5RvbZzCfDKWO1iXgDfmqeZL0c=

Di default, php bin/magento ww:encryption-key-manager:genkey genera una chiave compatibile con la tua versione corrente di Magento.

Ma puoi forzare il formato (per scopi di sviluppo)

php bin/magento ww:encryption-key-manager:genkey --format base64
php bin/magento ww:encryption-key-manager:genkey --format hex

Maggiori dettagli sul processo di generazione delle chiavi sono disponibili in questo post del blog.

Requisiti

Magento 2.4

Installazione

composer require wubinworks/module-encryption-key-manager-cli

♥

Se ti piace questa estensione, metti una stella a questo repository.

Potrebbero Interessarti Anche

Patch per Magento 2 per CVE-2024-34102 (aka Cosmic Sting)

Patch per l'autenticazione JWT di Magento 2