Neu Vorgehen nach Sicherheitslücke im Shop - Wechsel Blowfish-Key

[JTL_Newbie]

Guten Tag zusammen,

nach der im letzten Monat bekannt gewordenen Sicherheitslücke wurde bereits im Vorfeld der Patch Veröffentlichung mein Onlineshop "befallen".
Ich habe nach Vorgabe den Shop offline genommen und möchte jetzt mit einer Neuinstallation sauber anfangen.

Folgendes Problem ergibt sich dabei:
Wenn ich ein Datenbankbackup einspielen möchte, ist der Blowfish-Key im neuen Shop erwartungsgemäß nicht passend, um die Daten zu entschlüsseln.
Da der alte Blowfish-Key durch die Ausnutzung der Sicherheitslücke abgeflossen sein wird, müsste ich diesen eh erneuern.

Wie kann man den Key ersetzen, sodass das alte Datenbankbackup verwendet werden kann?
Gibt es Erfahrungen in Bezug auf die Weiterverwendung der Datenbank nach einer Kompromittierung?

Ich hoffe, dass ihr nicht zu zahlreich von der Sicherheitslücke beeinträchtigt wurdet.

Vielen Dank im Voraus!

Beste Grüße
Max

 

[NoOne]

Mit Bordmitteln vom Shop geht das nicht. Man müsste dafür ein Skript bauen, dass sämtliche verschlüsselten Felder mit dem alten blowfishkey entschlüsselt und mit dem neuen blowfishkey verschlüsselt. Das bezieht sich nicht nur auf Kundendaten. Auch Plugins könnten Einstellungen wie z. B. Login-Daten mit dem blowfishkey verschlüsselt haben. Der Austausch ist vom Shop so derzeit nicht vorgesehen.