Laravel şifrelemesinde şifreyi değiştirin

Question

Daha önce, Laravel şifreleme için MCRYPT_RIJNDAEL_128 şifresini kullanır (< 5.0 sürümünde). Şimdi AES-256-CBC (> = 5.1). Mcrypt, abandonware ve we should not use it olarak görünüyor.

Laravel < 5.1 için yazılmış bir uygulama var ve Laravel 5.1'e taşındı. Şifreyi değiştirebilir miyim, yoksa her şeyi mi kıracak?

DÜZENLEME: Diğer bir deyişle

, ben hizmet kesintisi/bozulma veya hata olmadan, vb nüfuslu bir veritabanı ile bir laravel üretim uygulamasında AES-256-CBC için MCRYPT_RIJNDAEL_128 den bağlanan kullanıcılar arasında geçiş yapabilirsiniz?

Answer 1

Evet, bunu yapabilirsiniz. Tek "yerleşik" yan etki, kullanıcılarınızın çıkış yapması gerektiğidir.

"Yerleşik" diyorum çünkü eğer bu şifreleme anahtarını kullanarak başka bir şeyiniz varsa (db, api/auth token'leriniz, verilerinizde crypt/decrypt komutunu çalıştırıyorsanız), bunları nasıl değiştireceğinizi anlamanız gerekir. de. Eğer engelli olan config/sessions.php (içinde 'şifrelemek' => true kullanırken

Answer 2

Sadece çalışan bir uygulama denedim ve en azından zaten Çerezler/Oturumları olan kullanıcılar için İstisnalar atar ve varsayılan olarak). Encrypter.php hattı 101

ErrorException: openssl_decrypt(): Bu sabitlenebilir: IV geçirilen

düzenleme kesilmesi, daha seçilen şifre beklenen 16'dan olan 32 bayt uzunluğunda düzenleme uygulaması/HTTP/Katman/EncryptCookies.php ve bu işlevi ekleyin:

protected function decrypt(Request $request) 
{ 
    foreach ($request->cookies as $key => $c) { 
     if ($this->isDisabled($key)) { 
      continue; 
     } 

     try { 
      $request->cookies->set($key, $this->decryptCookie($c)); 
     } catch (\Illuminate\Contracts\Encryption\DecryptException $e) { 
      $request->cookies->set($key, null); 
     } catch (\ErrorException $e) { 
      $request->cookies->set($key, null); 
     } 
    } 

    return $request; 
} 

Bu deşifre edilemeyen çerezleri kaldırıyoruz, böylece temelde kullanıcının oturumunu kapatır.

Answer 3

O için MCRYPT_RIJNDAEL_128 değiştirmek için tamamen güvenlidir 'AES-256-CBC'

Test ettim nasıl?

First I encrypted text with MCRYPT_RIJNDAEL_128 
After that, I changed cipher to 'AES-256-CBC' in config/app.php 
Third I decrypted encrypted string from the first step 

I also tested that logged in users stay logged after cipher change 

Bu nedenle, değişen şifrenin sizi etkilemeyeceğini söylemek güvenlidir.

Not: PHP 7.1 veya PHP 7.2 sürümüne güncellerken "Uyarı: tanımsız sabit MCRYPT_RIJNDAEL_128 kullanımı" alabilirsiniz. O zaman şifreyi değiştirmem gerektiğini gördüm.