Паролі Squid і абмежаванне DES crypt у восем знакаў

Проксі прымае стары пароль, калі змяняецца яго канчатак, або міграцыя файла пароляў раптам ламае ўліковыя запісы з доўгімі паролямі. Праверце фармат хэша, перш чым скарачаць паролі ўсім.

htpasswd -d у Apache выбірае састарэлае хэшаванне crypt(). Яго дакументаванае абмежаванне DES — восем значных сімвалаў пароля. Гэта абмежаванне належыць фармату, а не ўніверсальнаму правілу васьмі сімвалаў для пароляў у Squid.

Дапаможнік NCSA чытае захаванае прадстаўленне пароля і правярае пададзенае значэнне ў фарматах, якія падтрымлівае гэты дапаможнік і яго платформа. Назваць файл “фарматам htpasswd” не гарантуе, што кожны гістарычны і сучасны дапаможнік прымае кожны алгарытм хэшавання, створаны любым варыянтам htpasswd.

Мігруйце прадстаўленне свядома

Захавайце ахоўную рэзервовую копію і вызначце фармат, які выкарыстоўваюць існуючыя запісы. Праверце кіраўніцтва ўсталяванага дапаможніка і зборку дыстрыбутыва, перш чым выбіраць алгарытм замены.

Затым праверце невялікі дазволены тэставы ўліковы запіс праз той жа дапаможнік і той жа шлях проксі, што выкарыстоўваюць сапраўдныя запісы. Паспяховы запіс файла генератарам не даказвае, што спажываючы дапаможнік зможа яго праверыць. Выкарыстайце тэставы пароль, значныя сімвалы якога выходзяць за старую мяжу.

Змена фарматаў звычайна патрабуе сапраўднага пароля або скіду пароля. Стары хэш нельга ператварыць у мацнейшы хэш поўнага арыгінальнага пароля, калі гэтая інфармацыя ніколі не захоўвалася.

Нарэшце, адрознівайце збой міграцыі ад кэшаванай аўтэнтыфікацыі. Ужо аўтэнтыфікаваны кліент можа працягваць працаваць некаторы час, нават калі новая праверка скончыцца няўдачай. Плануйце разгортванне з улікам як свежай аўтэнтыфікацыі, так і існуючых сесій.

Не публікуйце файл пароляў у справаздачы пра памылку. Маркер алгарытму і сінтэтычны ўліковы запіс звычайна даюць больш карысныя доказы, чым хэшы рэальных карыстальнікаў.