Per què l’autenticació Basic de Squid encara accepta una contrasenya antiga

Canviar el fitxer de contrasenyes de Squid no fa necessàriament que cada petició posterior torni a cridar l’auxiliar. Amb l’autenticació Basic, Squid pot desar en memòria cau un parell de nom d’usuari i contrasenya validat correctament.

El paràmetre de Squid 6.13 que controla quant temps es considera vàlida aquesta comprovació és credentialsttl. Per exemple:

auth_param basic credentialsttl 5 minutes

Aquest valor de política és un exemple, no una recomanació universal. Tria’l segons el retard de revocació que puguis acceptar i la càrrega que pot assumir el sistema d’autenticació.

Separa tres comprovacions

Primer confirma que has editat el fitxer que utilitza l’auxiliar actiu. Un canvi correcte en un fitxer que no s’utilitza no té cap efecte. Després comprova que l’auxiliar pot llegir el fitxer i validar la informació nova del compte. Finalment, prova una petició nova al proxy mitjançant la instància en execució, on també s’apliquen la memòria cau de credencials i les regles d’accés.

Prova l’auxiliar i el proxy en execució per separat. L’auxiliar mostra què accepta actualment el sistema d’autenticació, mentre que Squid encara pot reutilitzar una validació en memòria cau. Durant la rotació, comprova tant que la credencial nova funcioni com que l’antiga es rebutgi un cop passada la finestra de validació aplicable.

Utilitza un compte de prova específic per investigar aquest comportament. Mantén constants la petició, l’origen del client i la destinació, i evita incloure contrasenyes reals en la sortida compartida d’ordres.

Planifica la revocació en lloc de dependre d’una edició del fitxer

Una vigència més curta de la validació augmenta la feina del sistema d’autenticació. Abans de reduir-la en un servei amb molta activitat, considera la capacitat de l’auxiliar i verifica el comportament amb el sistema real. No suposis que recarregar la configuració elimina tots els estats d’autenticació rellevants si no s’ha demostrat per a la teva versió i configuració.

Per retirar l’accés urgentment, una denegació explícita per compte o origen pot proporcionar un límit independent. Prova aquesta denegació des de la ruta afectada en lloc de dependre només de l’eliminació del fitxer de contrasenyes.

Aquest paràmetre descriu la memòria cau de validació Basic. Els esquemes d’autenticació orientats a connexió tenen estat addicional i no se’ls ha d’assignar per analogia el mateix model de revocació.