Zašto Squid Basic autentifikacija i dalje prihvata staru lozinku

Razumijte keširanje Basic pristupnih podataka u Squidu 6.13 prije pretpostavke da izmjena datoteke lozinki odmah ukida pristup za svaki zahtjev.

Promjena Squidove datoteke lozinki ne znači nužno da će svaki naredni zahtjev ponovo pozvati helper. Kod Basic autentifikacije Squid može keširati uspješno provjeren par korisničkog imena i lozinke.

Postavka Squida 6.13 koja određuje koliko se ta provjera smatra važećom jeste credentialsttl. Naprimjer:

auth_param basic credentialsttl 5 minutes

Ovo je primjer vrijednosti politike, ne univerzalna preporuka. Odaberite je prema prihvatljivom kašnjenju opoziva i opterećenju koje vaš autentifikacijski backend može podnijeti.

Razdvojite tri provjere

Prvo potvrdite da ste uredili datoteku koju koristi aktivni helper. Ispravna promjena nekorištene datoteke nema učinka. Zatim provjerite može li helper čitati datoteku i provjeriti nove podatke računa. Na kraju testirajte nov proxy zahtjev kroz pokrenutu instancu, gdje se također primjenjuju keširanje podataka i pravila pristupa.

Testirajte helper i pokrenuti proxy odvojeno. Helper pokazuje šta backend trenutno prihvata, dok Squid možda još koristi keširanu provjeru. Tokom rotacije provjerite i da novi podaci rade i da se stari odbijaju nakon odgovarajućeg perioda važenja provjere.

Koristite namjenski testni račun pri istraživanju ovog ponašanja. Zadržite isti zahtjev, izvor klijenta i odredište, a stvarne lozinke ne stavljajte u dijeljeni izlaz naredbi.

Planirajte opoziv umjesto oslanjanja na izmjenu datoteke

Kraće važenje provjere povećava rad backenda. Prije skraćivanja na opterećenoj usluzi razmotrite kapacitet helpera i provjerite ponašanje sa stvarnim backendom. Ne pretpostavljajte da ponovno učitavanje konfiguracije briše svako relevantno stanje autentifikacije ako to nije utvrđeno za vašu verziju i postavku.

Za hitno ukidanje pristupa izričita zabrana pristupa računu ili izvoru može pružiti zasebnu granicu. Testirajte tu zabranu s pogođene rute umjesto oslanjanja samo na uklanjanje iz datoteke lozinki.

Ova postavka opisuje keširanje Basic provjere. Autentifikacijske sheme vezane za vezu imaju dodatno stanje i ne treba im po analogiji dodijeliti isti model opoziva.

Povezani članci