Contrasenyes de Squid i el límit de vuit caràcters de DES crypt
Ressegueix el suposat truncament de la contrasenya fins al format del hash desat abans de culpar Squid o de regenerar en silenci un fitxer de contrasenyes incompatible.
Un proxy accepta una contrasenya antiga quan canvia el seu final, o bé una migració del fitxer de contrasenyes trenca de cop els comptes amb contrasenyes llargues. Inspecciona el format del hash abans d'escurçar les contrasenyes de tothom.
htpasswd -d d'Apache tria el hashing antic crypt(). La seva limitació documentada de DES és de vuit caràcters significatius de contrasenya. Aquesta limitació és del format, no d'una regla universal de vuit caràcters per a les contrasenyes a Squid.
L'ajudant NCSA llegeix la representació desada de la contrasenya i verifica el valor subministrat amb els formats que admet aquest ajudant i la seva plataforma. Anomenar un fitxer “format htpasswd” no garanteix que tots els ajudants històrics i actuals acceptin tots els algorismes de hash que produeix qualsevol opció de htpasswd.
Migra la representació de manera deliberada
Mantén una còpia de seguretat protegida i identifica el format que fan servir les entrades existents. Consulta el manual de l'ajudant instal·lat i la compilació de la distribució abans de triar l'algorisme de substitució.
Després verifica un compte de prova petit i aprovat a través del mateix ajudant i del mateix camí de proxy que fan servir els comptes reals. Que un generador escrigui un fitxer correctament no demostra que l'ajudant que el consumeix el pugui validar. Fes servir una contrasenya de prova els caràcters significatius de la qual ultrapassin el límit antic.
Canviar de format normalment requereix la contrasenya real o un restabliment de contrasenya. Un hash antic no es pot transformar en un hash més fort de la contrasenya original completa si aquesta informació no s'ha conservat mai.
Finalment, distingeix un error de migració d'una autenticació en memòria cau. Un client ja autenticat pot seguir funcionant durant una estona encara que una validació nova fallés. Planifica el desplegament tant per a l'autenticació nova com per a les sessions existents.
No publiquis el fitxer de contrasenyes en un informe d'error. El marcador de l'algorisme i un compte sintètic solen aportar proves més útils que els hash d'usuaris reals.