OXID Security-Modul von V. 2.x auf V. 3.x aktualisieren

Aktualisieren Sie das OXID Security-Modul von V. 2.x auf V. 3.x, wenn Sie das Modul bereits in V. 2.x betreiben.

Wesentliche Neuerung in V. 3.x ist die Zwei-Faktor-Authentifizierung (2FA) per E-Mail-OTP für das Kundenkonto im Frontend. Die Funktion ist nach dem Update standardmäßig sowohl shopweit als auch für jeden Kunden deaktiviert. Sie wird erst wirksam, wenn der Shop-Admin sie shopweit aktiviert und einzelne Kunden sie in ihrem Account einschalten.

Voraussetzungen

Sie haben OXID eShop Version 7.4.
Sie haben das OXID Security-Modul in V. 2.x installiert.
Sie haben das OXID Security-Modul vor dem Update deaktiviert.

Vorgehen

Wechseln Sie in eine Shell und navigieren Sie zum Root-Verzeichnis Ihres Shops (in dem die Datei composer.json liegt).

Beispiel:
```
cd /var/www/oxideshop/
```
Aktualisieren Sie das Modul. Führen Sie folgenden Befehl aus:
```
composer require oxid-esales/security-module ^3.0.0
```
Führen Sie die Datenbankmigrationen aus.

Dabei werden in der Datenbank das neue Feld OE2FAENABLED in der Tabelle oxuser sowie die neue Tabelle oesm_2fa_otp angelegt.
```
./vendor/bin/oe-eshop-doctrine_migration migrations:migrate
```
Aktivieren Sie das Modul über das Admin-Backend unter Erweiterungen ‣ Module oder über die Konsole:
```
./vendor/bin/oe-console oe:module:activate oe_security_module
```
Alternativ: Aktivieren Sie das Modul im Admin-Backend unter Erweiterungen ‣ Module manuell.

Resultat

Das OXID Security-Modul liegt in V. 3.x vor und ist betriebsbereit. Die Zwei-Faktor-Authentifizierung ist standardmäßig shopweit deaktiviert. Sobald Sie 2FA als Shop-Admin aktivieren, können Ihre Kunden die Funktion bei Bedarf selbst im Kundenkonto unter den Sicherheitseinstellungen einschalten.

Hinweise zum Update

Standardverhalten beim Update

Das Update aktiviert 2FA weder shopweit noch für einzelne Kunden. Die Funktion ist erst dann wirksam, wenn Sie als Shop-Admin 2FA shopweit aktivieren und einzelne Kunden 2FA in ihrem Account einschalten (Spalte OE2FAENABLED mit Standardwert 0). Bestandskunden bekommen keine zusätzlichen Login-Hürden, solange diese beiden Schritte nicht beide vollzogen sind.

Captcha-Validierung verlagert

Die Captcha-Prüfung wurde von der User-Klasse in die UserComponent-Klasse verlagert. Wenn Sie ein eigenes Modul mit Erweiterungen der User-Klasse einsetzen, prüfen Sie dieses auf Kompatibilität.

Bekannte Einschränkungen in V. 3.x

Logins im Admin-Backend sind nicht durch 2FA geschützt.
Konten mit aktivierter 2FA können sich nicht über die OXAPI anmelden. Solche Konten müssen 2FA deaktiviert lassen, um die OXAPI weiter zu nutzen.

Weitere Informationen finden Sie in den Release Notes des OXID Security-Moduls V. 3.0.