Squid-wagwoorde en die agt-karakter-DES-crypt-limiet
Spoor oënskynlike wagwoord-afsny na die gestoorde hash-formaat voordat Squid geblameer of 'n onversoenbare wagwoordlêer stilweg hergenereer word.
'n Instaanbediener aanvaar 'n ou wagwoord wanneer die einde daarvan verander, of 'n migrasie van die wagwoordlêer breek skielik rekeninge met lang wagwoorde. Ondersoek die hash-formaat voordat almal se wagwoorde verkort word.
Apache se htpasswd -d kies die ouerwetse crypt()-hashing. Die gedokumenteerde DES-beperking daarvan is agt beduidende wagwoordkarakters. Daardie beperking hoort by die formaat, nie by 'n universele reël van agt karakters vir wagwoorde in Squid nie.
Die NCSA-hulpprogram lees die gestoorde wagwoordvoorstelling en verifieer die verskafde waarde met die formate wat daardie hulpprogram en sy platform ondersteun. Om 'n lêer “htpasswd-formaat” te noem, waarborg nie dat elke historiese en huidige hulpprogram elke hash-algoritme aanvaar wat deur elke htpasswd-opsie geproduseer word nie.
Migreer die voorstelling doelbewus
Hou 'n beskermde rugsteun en identifiseer die formaat wat bestaande inskrywings gebruik. Raadpleeg die handleiding van die geïnstalleerde hulpprogram en die verspreidingsbou voordat die vervangingsalgoritme gekies word.
Verifieer dan 'n klein, goedgekeurde toetsrekening deur dieselfde hulpprogram en instaanbediener-roete wat die werklike rekeninge gebruik. Dat 'n genereerder 'n lêer suksesvol skryf, bewys nie dat die verbruikende hulpprogram dit kan valideer nie. Gebruik 'n toetswagwoord waarvan die beduidende karakters verby die ou grens strek.
Om formate te verander vereis gewoonlik die werklike wagwoord of 'n wagwoordherstel. 'n Ouerwetse hash kan nie in 'n sterker hash van die volle oorspronklike wagwoord omgeskakel word wanneer daardie inligting nooit behoue gebly het nie.
Ten slotte, onderskei migrasiefout van gekasde verifikasie. 'n Kliënt wat reeds geverifieer is, kan 'n ruk lank aanhou werk selfs wanneer 'n nuwe validering sou misluk. Beplan die uitrol rondom vars verifikasie sowel as bestaande sessies.
Moenie die wagwoordlêer in 'n foutverslag publiseer nie. Die algoritme-merk en 'n sintetiese rekening lewer gewoonlik nuttiger bewyse as regte gebruikers se hashes.