Mitgliederdaten aus Contao 2.9. in Contao 4.4. übernehmen (Passwörterproblem)

Druckbare Version

24.07.2019, 09:39
Holla

Mitgliederdaten aus Contao 2.9. in Contao 4.4. übernehmen (Passwörterproblem)

Hallo zusammen,

ich möchte die Mitgliederdaten aus einer Contao 2.9 Installation übernehmen in eine neu aufgesetzte Contao 4.4 Installation.

Nun habe ich hier im Forum gelesen, dass offenbar die Speicherung der Passwörter zwischen den beiden Versionen nicht kompatibel ist:
https://community.contao.org/de/show...mehr-einloggen

Es ist meinem Kunden extrem wichtig zu vermeiden, dass alle Mitglieder ihr Passwort neu setzen müssen.

Gibt es dafür irgendeinen Weg?

(Vielleicht durch irgendwelche Zwischenupdates der Contao 2.9. Installation bis auf die Version 3.5.36 - in der die Unterstützung der alten PW-Verschlüsselung entfernt wurde...?)

Wäre toll, wenn mir dazu jemand von euch was sagen kann... :)
24.07.2019, 09:42
Spooky
Ja, du könntest einfach die 2.9er Installation zuerst auf Contao 2.11.17 aktualisieren, dann auf 3.5.40 und dann auf 4.4.41. Dann kannst du tl_member & tl_member_groups 1:1 kopieren.

Und dazu musst du eigentlich nur folgendes machen:
1. Eine Kopie der Datenbank der 2.9er Installation erzeugen.
2. Contao 2.11.17 runterladen, extrahieren, Web Server entsprechend einrichten und das Contao Install Tool aufrufen.
3. Auf die Datenbank Kopie zeigen lassen.
4. Datenbank Upgrades durchführen.
5. Contao 3.5.40 runterladen, extrahieren, Web Server entsprechend einrichten und das Contao Install Tool aufrufen.
6. Auf die Datenbank Kopie zeigen lassen.
7. Datenbank Upgrades durchführen.
8. Eine neue Contao 4 Instanz per composer installieren, Web Server entsprechend einrichten und das Contao Install Tool aufrufen.
9. Auf die Datenbank Kopie zeigen lassen.
10. Datenbank Upgrades durchführen.
11. tl_member & tl_member_groups in die Contao 4.4 Installation kopieren.
24.07.2019, 10:27
Holla

Wow, Spooky, vielen Dank für deine schnelle Antwort und die ausführliche Anleitung!

Ich nehme an in Schritt 6. ist eine Datenbank-Kopie von der 2.11.17 gemeint.

Und beim Update von 2.11.17 auf 3.5.40 würden dann im Schritt 7. durch die Datenbank-Upgrades alle Passwort-Daten automatisch umgewandelt in die neue Form der Passwort-Speicherung, wenn ich das richtig verstanden habe. (Oder an welcher anderen Stelle passiert diese Umwandlung?)

Wäre ja super, wenn das auf dem Weg funktioniert.
Hoffe ich bring das damit hin...
24.07.2019, 10:49
Spooky

Zitat:

Zitat von Holla

Ich nehme an in Schritt 6. ist eine Datenbank-Kopie von der 2.11.17 gemeint.

Nein. Du kopierst die 2.9er Datenbank einmal in Schritt 1. Danach arbeitest du nur mehr mit dieser Kopie. Du musst dann nicht jedes mal eine Kopie erzeugen.

Zitat:

Zitat von Holla

Und beim Update von 2.11.17 auf 3.5.40 würden dann im Schritt 7. durch die Datenbank-Upgrades alle Passwort-Daten automatisch umgewandelt in die neue Form der Passwort-Speicherung, wenn ich das richtig verstanden habe. (Oder an welcher anderen Stelle passiert diese Umwandlung?)

Genau, so sollte es zumindest sein.
24.07.2019, 11:20
Holla

Zitat:

Zitat von Spooky

Nein. Du kopierst die 2.9er Datenbank einmal in Schritt 1. Danach arbeitest du nur mehr mit dieser Kopie. Du musst dann nicht jedes mal eine Kopie erzeugen.

Ah OK, gut, dass du das nochmal richtig stellst. Jetzt habe ich das Ganze richtig verstanden. Glaube ich jedenfalls... :D

Klasse, nochmal ganz vielen Dank!
19.11.2019, 10:44
Holla

Zitat:

Zitat von Spooky

Zitat:

Zitat von Holla

Und beim Update von 2.11.17 auf 3.5.40 würden dann im Schritt 7. durch die Datenbank-Upgrades alle Passwort-Daten automatisch umgewandelt in die neue Form der Passwort-Speicherung, wenn ich das richtig verstanden habe. (Oder an welcher anderen Stelle passiert diese Umwandlung?)

Genau, so sollte es zumindest sein.

So wie es aussieht hat das wohl so nicht geklappt:
Wenn ich nach Schritt 7 - also nach Upgrade auf 3.5.40 und Durchführung der DB-Aktualisierung - die Tabellen vergleiche sind die Einträge unter password noch exakt so wie in der Ausgangstabelle.

Wenn die Passwörter umgewandelt worden wären, müssten die Einträge doch da jetzt auch anders aussehen... (oder liege ich da falsch?)

(Projekt war zwischzeitlich pausiert, daher der große Zeitabstand)
19.11.2019, 10:46
Spooky

Funktioniert der Login?
19.11.2019, 14:51
dirksche

Muss man nicht erst von 2.11.17 auf 3.2.21 updaten und dann auf 3.5.40?
Nach meinen Erfahrungen tritt das Problem dann nicht auf.
20.11.2019, 09:25
Holla

@Spooky Nein, der Login funktioniert nicht.

Braucht es vielleicht doch noch dieses Zwischenupdate auf 3.2.21 was @dirksche jetzt ins Spiel gebracht hat...?
26.11.2019, 11:48
Holla

Ich habe das Ganze jetzt nochmal mit dem vorgeschlagenen Zwischenupdate auf 3.2.21 durchgeführt.

Leider mit dem gleichen Ergebnis:

In der 3.2.21 funktioniert der Login noch.

In der 3.5.40 dann nicht mehr
die Passwörter stehen (nach Durchführung der DB-Aktualisierungen) noch genau so in der Tabelle wie in der 3.2.21

Hat noch jemand eine Idee dazu warum die Passwörter nicht umgewandelt werden
bzw. was man da machen kann damit es funktioniert?
26.11.2019, 13:23
xchs

Ich weiß gar nicht genau, ob der neue Passwort-Hash tatsächlich durch das Contao Installtool generiert wird oder erst beim erstmaligen Login. Ich vermute Letzteres.
26.11.2019, 13:39
fiedsch
Zitat:

Zitat von Holla

Hat noch jemand eine Idee dazu warum die Passwörter nicht umgewandelt werden
bzw. was man da machen kann damit es funktioniert?

Damit die Passwörter von der Speicherung mit einem alten Verschlüssenlungsverfahren in die mit einem neuen werden können müssen sie im Moment der Umwandlung Klartext vorliegen. Das ist gegeben, wenn sich der Benutzer anmeldet. Dann kann Contao das eingegebene Passwort mit dem alten Verfahren prüfen, für korrekt befinden und dann mit dem neuen Verfahren abspeichern.

Ich fürchte, daß hier beim Wchsel von Contao 2 zu 3 zu 4 nicht mehr alle Verschlüsselungsverfahren unterstürtzt werden und es deswegen nicht geht. Das wär für mich zumindest "Contao 2 Passwörter funktionieren in Contao 4 nicht mehr".

Wenn meine Argumentation stimmt, könntest Du nur diesen (in der Praxis nicht wirklich brauchbaren) Weg gehen:
- Update von Contao 2 auf Contao 3
- Alle User müssten sich einmal einloggen, damit die Passwörter umgestellt werden können
- Update von Contao 3 auf Contao 4
- Alle User müssten sich wiederum einmal einloggen, damit die Passwörter nochmals umgestellt werden können
26.11.2019, 13:52
lucina

Die entsprechende Änderung in den unterstützten Verschlüsselungsverfahren war AFAIK in 3.5.36. User müssten sich mithin in einer Version ab 3.5.0 bis 3.5.36 angemeldet haben.

Auf die letzte mögliche Version würde ich gehen. Ich bin mir nicht sicher, aber ich meine, dass auf den aktuellen Algorithmus auch umgestellt wird wenn man im Backend den entsprechenden User aufruft und einmalig speichert.

Danach kannst Du machen was Du willst ... ;-)
26.11.2019, 15:05
Holla

Erstmal vielen Dank für Eure Antworten @xchs, @fiedsch, @lucina!

Zitat:

Zitat von fiedsch

Damit die Passwörter von der Speicherung mit einem alten Verschlüssenlungsverfahren in die mit einem neuen werden können müssen sie im Moment der Umwandlung Klartext vorliegen. Das ist gegeben, wenn sich der Benutzer anmeldet. Dann kann Contao das eingegebene Passwort mit dem alten Verfahren prüfen, für korrekt befinden und dann mit dem neuen Verfahren abspeichern.

Wenn dem so ist gibt es nach meinem Verständnis gar keine Möglichkeit die Passwörter umzuwandeln,
d.h. dieses...

Zitat:

Zitat von lucina

Ich bin mir nicht sicher, aber ich meine, dass auf den aktuellen Algorithmus auch umgestellt wird wenn man im Backend den entsprechenden User aufruft und einmalig speichert.

...kann dann ja eigentlich auch nicht funktionieren, weil die Passwörter dabei nicht im Klartext vorliegen.
Seh' ich das richtig?
26.11.2019, 15:35
tab

Die einzige Chance, die es überhaupt gäbe wäre wohl, die alten Passwörter zu knacken, was theoretisch möglich sein sollte, sonst hätte man ja die alten Verschlüsselungsalgorithmen lassen können. Allerdings wäre dann selbst im Erfolgsfall eigentlich ein Mail an die Mitglieder fällig, dass sie bitte ihre Passwörter neu setzen sollen. Also nichts gewonnen, wenn man fair mit den Mitgliedern umgehen will. Es lohnt sich halt nicht immer, viele Jahre lang das CMS nicht warten zu lassen, manchmal fällt es einem auch auf die Füße. Damit muss man dann halt leben.
27.11.2019, 14:57
tab

Zitat:

Zitat von tab

Die einzige Chance, die es überhaupt gäbe wäre wohl, die alten Passwörter zu knacken, was theoretisch möglich sein sollte, sonst hätte man ja die alten Verschlüsselungsalgorithmen lassen können.

Selbst da ist noch ein Denkfehler meinerseits drin. Da Passwort-Hashes nicht notwendigerweise eindeutig sein müssen, könnten möglicherweise mehrere, unterschiedliche Passworter den selben Hashwert erzeugen. Welches davon das "Richtige" ist, könnte man bestenfalls intelligent raten (nach dem Motto: Wenn als Passwort "1234567890" und "SDfDSFDGdSFgdFjjkljöjSzuiezuiilsavjs-_fghfhfwtgzqu" in Frage kommen, dann ist die Chance (leider) groß, daß das Erstere stimmt). Nimmt man aber eine falsche Passwort-Variante, um daraus den neuen Hash zu berechnen, dann wird das eigentlich richtige Passwort hinterher sehr wahrscheinlich nicht mehr funktionieren und das betreffende Mitglied wäre damit erst einmal ausgesperrt. Eine sichere Methode setzt die Kenntnis des "richtigen" Passworts voraus, und das kennt eben nur das Mitglied.