Hesla Squid a limit DES crypt na osm znaků
Vysledujte zdánlivé zkrácení hesla až k formátu uloženého hashe, než obviníte Squid nebo tiše vygenerujete nekompatibilní soubor hesel.
Proxy přijme staré heslo, když se změní jeho konec, nebo migrace souboru hesel náhle rozbije účty s dlouhými hesly. Prohlédněte formát hashe, než zkrátíte hesla všem.
htpasswd -d v Apache volí zastaralé hašování crypt(). Jeho dokumentované omezení DES je osm významných znaků hesla. Toto omezení patří formátu, nikoli univerzálnímu pravidlu osmi znaků pro hesla v Squidu.
Pomocník NCSA čte uloženou reprezentaci hesla a ověřuje zadanou hodnotu ve formátech, které tento pomocník a jeho platforma podporují. Nazvat soubor “formátem htpasswd” nezaručuje, že každý historický i současný pomocník přijme každý hašovací algoritmus vytvořený kteroukoli volbou htpasswd.
Migrujte reprezentaci záměrně
Uchovejte chráněnou zálohu a zjistěte formát, který používají stávající záznamy. Před volbou náhradního algoritmu si prostudujte manuál nainstalovaného pomocníka a build distribuce.
Poté ověřte malý schválený testovací účet stejnou cestou přes pomocníka a proxy, kterou používají skutečné účty. Úspěšný zápis souboru generátorem neprokazuje, že jej konzumující pomocník dokáže validovat. Použijte testovací heslo, jehož významné znaky přesahují starou hranici.
Změna formátu obvykle vyžaduje skutečné heslo nebo reset hesla. Starý hash nelze převést na silnější hash plného původního hesla, pokud tato informace nikdy nebyla uchována.
Nakonec odlište selhání migrace od kešované autentizace. Již autentizovaný klient může nějakou dobu pokračovat v práci, i když by nová validace selhala. Naplánujte nasazení s ohledem na čerstvou autentizaci i stávající relace.
Nezveřejňujte soubor hesel v hlášení chyby. Značka algoritmu a syntetický účet obvykle poskytnou užitečnější důkazy než hashe skutečných uživatelů.