如何解决Magento加密密钥安全隐患，并使用gene/module-encryption-key-manager模块保障你的商店安全

最近，我们团队在维护一个Magento电商平台时，遭遇了一个棘手的安全挑战。随着网络攻击手段的日益复杂，我们发现即使按照Adobe的官方建议对商店进行了安全补丁更新，也无法完全消除一个潜在的威胁：如果旧的加密密钥不幸泄露，攻击者仍然可以利用它来生成有效的JSON Web Tokens (JWT)，从而在升级后继续访问和操作商店。这就像是换了新锁，但旧钥匙依然能开门，让人寝食难安。

Magento自带的加密密钥轮换功能虽然存在，但它有一个致命的缺陷：它并不会真正地“废弃”旧密钥。这意味着旧密钥仍然可能被应用程序的其他部分或恶意生成的JWT所利用。更糟糕的是，每次密钥轮换还会导致Magento媒体缓存的哈希值改变，进而触发整个媒体库的大规模重建。这不仅会消耗大量的服务器资源和时间，还会导致顾客在短时间内访问图片时出现卡顿，严重影响用户体验。

面对这些困境，我们急需一个既能彻底解决密钥安全问题，又能避免性能冲击的方案。在深入研究和尝试后，我们发现了 gene/module-encryption-key-manager 这个Composer模块，它简直是为我们量身定制的救星。

gene/module-encryption-key-manager：你的Magento安全卫士

gene/module-encryption-key-manager 是一个专门为Magento 2设计的Composer模块，旨在解决加密密钥管理中的核心安全和性能问题。它不仅强化了密钥轮换过程，确保旧密钥的彻底失效，还优化了媒体缓存处理，避免了不必要的重建。

安装过程非常简单，通过Composer即可完成：

<pre class="brush:php;toolbar:false;">composer require gene/module-encryption-key-manager
bin/magento setup:upgrade

安装完成后，这个模块便为我们提供了强大的命令行工具，用于安全地管理和轮换加密密钥。

如何使用 gene/module-encryption-key-manager 解决问题

该模块提供了一套完整的密钥轮换和管理流程，主要分为以下几个关键步骤：

1. 优先处理：生成新密钥并立即禁用旧JWT

这是解决“CosmicSting”等攻击的首要步骤。通过执行以下命令，你可以生成一个新的加密密钥，并强制Magento的JWT工厂只使用最新的密钥。这意味着所有基于旧密钥生成的JWT将立即失效，极大地提升了安全性。

AppMall应用商店

AI应用商店，提供即时交付、按需付费的人工智能应用服务

56

查看详情

<code class="bash">php bin/magento gene:encryption-key-manager:generate [--key=MY_32_CHAR_CRYPT_KEY] [--skip-saved-credit-cards]</code>

• --key 选项允许你手动指定新的32位加密密钥。
• --skip-saved-credit-cards 标志可以跳过对 sales_order_payment 表中信用卡数据的重新加密，这对于大型商店来说可以节省大量时间。

2. 全面轮换旧密钥：确保数据完整性和安全性

在确保JWT安全后，你可以逐步进行旧数据的重新加密和旧密钥的彻底失效。这是一个更全面的过程，确保所有加密数据都使用新密钥。

• 审查数据库和配置： 使用 zgrep 等工具检查数据库中所有包含加密值的表，以及 app/etc/env.php 中可能泄露的敏感配置。
• 重新加密未处理的配置数据：

  <code class="bash">php bin/magento gene:encryption-key-manager:reencrypt-unhandled-core-config-data --force</code>

  登录后复制

  此命令会强制重新加密那些第三方模块可能未正确处理的 core_config_data 值。

• 重新加密2FA数据：

  <code class="bash">php bin/magento gene:encryption-key-manager:reencrypt-tfa-data --force</code>

  登录后复制

  针对 tfa_user_config 表中的双因素认证数据进行特殊处理，确保其安全性。

• 重新加密特定列： 对于数据库中其他已识别的加密列，可以使用 reencrypt-column 命令进行精确处理。

  <code class="bash">php bin/magento gene:encryption-key-manager:reencrypt-column customer_entity entity_id rp_token --force</code>

  登录后复制
• 刷新缓存： php bin/magento cache:flush
• 验证与监控： 在废弃旧密钥之前，你可以启用模块的日志功能，监控是否有任何地方仍在尝试使用旧密钥进行解密。

  <pre class="brush:php;toolbar:false;">php bin/magento config:set --lock-env dev/debug/gene_encryption_manager_only_log_old_decrypts 1
  php bin/magento config:set --lock-env dev/debug/gene_encryption_manager_enable_decrypt_logging 1

  登录后复制

  通过检查 var/log/gene_encryption_key.log，可以确保所有数据都已成功迁移。

• 废弃旧密钥： 当你确认所有数据都已使用新密钥重新加密后，可以安全地废弃旧密钥。

  <code class="bash">php bin/magento gene:encryption-key-manager:invalidate</code>

  登录后复制

  此操作会将旧密钥移动到 env.php 中的 invalidated_key 部分，并用无意义的文本替换 crypt/key 中的旧值，从而彻底禁用它。

• 全面测试： 轮换完成后，务必对所有API集成、媒体显示、管理员和客户登录/登出功能进行全面测试，确保一切正常。

模块的优势与实际应用效果

gene/module-encryption-key-manager 模块为我们带来了多方面的显著优势：

1. 增强的安全性： 最核心的优势是它解决了Magento默认密钥轮换的不足。通过强制JWT工厂只使用最新密钥，它有效阻止了攻击者利用旧密钥生成有效令牌的风险，从根本上提升了商店的安全性。
2. 性能优化： 模块确保在密钥轮换时，媒体缓存目录的哈希值保持不变，从而避免了大规模的图片重建。这显著节省了服务器资源，缩短了页面加载时间，保障了用户体验。
3. 流程自动化与简化： 提供了一系列强大的CLI命令，将复杂的密钥轮换和数据重新加密过程自动化。这大大减少了手动操作的错误率和工作量，使得安全维护变得更加高效和可控。
4. 精细化控制： 针对 core_config_data、2FA数据和特定数据库列的重新加密命令，提供了高度的灵活性和精确性，确保所有敏感数据都能被正确处理。
5. 可追溯性与验证： 详细的日志功能允许开发者在废弃旧密钥之前，验证是否所有数据都已成功重新加密。这提供了一个重要的安全检查点，增强了操作的信心。
6. 防止长时间运行的进程： 优化了 sales_order_payment 中信用卡数据的重新加密逻辑，只处理必要条目，避免了大型商店中可能出现的长时间运行进程。

通过集成 gene/module-encryption-key-manager，我们不仅解决了Magento加密密钥管理中的安全隐患和性能瓶颈，还建立了一套更加健壮、高效的安全维护流程。这个模块是任何Magento商店在面对日益严峻的网络安全威胁时，都应该考虑的关键工具。它让我们能够更自信地保障客户数据和商店的运营安全。

以上就是如何解决Magento加密密钥安全隐患，并使用gene/module-encryption-key-manager模块保障你的商店安全的详细内容，更多请关注php中文网其它相关文章！