Squid lozinke i ograničenje DES crypt na osam znakova

Proxy prihvata staru lozinku kada joj se promijeni završetak, ili migracija datoteke lozinki iznenada pokvari račune s dugim lozinkama. Provjerite format hasha prije nego što svima skratite lozinke.

Apacheov htpasswd -d bira zastarjelo crypt() heširanje. Njegovo dokumentovano DES ograničenje je osam značajnih znakova lozinke. To ograničenje pripada formatu, a ne univerzalnom pravilu od osam znakova za lozinke u Squidu.

NCSA pomoćnik čita sačuvani prikaz lozinke i provjerava dostavljenu vrijednost formatima koje podržava taj pomoćnik i njegova platforma. Nazvati datoteku “htpasswd formatom” ne garantuje da svaki historijski i trenutni pomoćnik prihvata svaki hash algoritam koji proizvede bilo koja opcija htpasswd.

Namjerno migrirajte prikaz

Držite zaštićenu sigurnosnu kopiju i utvrdite format koji koriste postojeći unosi. Provjerite priručnik instaliranog pomoćnika i build distribucije prije nego što odaberete zamjenski algoritam.

Zatim provjerite mali odobreni testni račun kroz isti pomoćnik i putanju kroz proxy koju koriste stvarni računi. Uspješno pisanje datoteke generatorom ne dokazuje da je pomoćnik koji je čita može validirati. Koristite testnu lozinku čiji značajni znakovi izlaze izvan stare granice.

Promjena formata obično zahtijeva stvarnu lozinku ili resetovanje lozinke. Stari hash ne može se pretvoriti u jači hash pune originalne lozinke ako ta informacija nikada nije sačuvana.

Na kraju, razlikujte neuspjeh migracije od keširane autentifikacije. Već autentifikovani klijent može nastaviti raditi neko vrijeme čak i kada bi nova validacija propala. Planirajte uvođenje i oko svježe autentifikacije i oko postojećih sesija.

Ne objavljujte datoteku lozinki u prijavi greške. Oznaka algoritma i sintetički račun obično daju korisniji dokaz od hasheva stvarnih korisnika.