Пароли на Squid и ограничението от осем знака на DES crypt

Прокси приема стара парола, когато краят ѝ се промени, или миграция на файла с пароли внезапно чупи акаунти с дълги пароли. Проверете формата на хеша, преди да съкратите паролите на всички.

htpasswd -d на Apache избира остарелия хеш crypt(). Документираното ограничение на DES е осем значими знака от паролата. Това ограничение принадлежи на формата, а не на универсално правило за осем знака за паролите в Squid.

Помощникът NCSA чете съхраненото представяне на паролата и проверява подадената стойност чрез форматите, поддържани от този помощник и неговата платформа. Назоваването на файл “htpasswd формат” не гарантира, че всеки исторически и настоящ помощник приема всеки хеш алгоритъм, създаден от всяка опция на htpasswd.

Мигрирайте представянето съзнателно

Пазете защитено резервно копие и установете формата на съществуващите записи. Проверете ръководството на инсталирания помощник и билда на дистрибуцията, преди да изберете заместващия алгоритъм.

След това проверете малък одобрен тестов акаунт през същия помощник и пътя през прокси, който използват реалните акаунти. Успешното записване на файл от генератор не доказва, че консумиращият помощник може да го валидира. Използвайте тестова парола, чиито значими знаци излизат отвъд старата граница.

Смяната на формати обикновено изисква действителната парола или нулиране на паролата. Стар хеш не може да се превърне в по-силен хеш на пълната оригинална парола, ако тази информация никога не е била запазена.

Накрая, разграничете неуспеха при миграция от кеширано удостоверяване. Верифициран клиент може да продължи да работи известно време, дори когато нова проверка би се провалила. Планирайте пускането както около ново удостоверяване, така и около съществуващите сесии.

Не публикувайте файла с пароли в доклад за грешка. Маркерът на алгоритъма и синтетичен акаунт обикновено дават по-полезни доказателства от хешовете на реални потребители.