Squid-adgangskoder og DES crypt-grænsen på otte tegn

En proxy accepterer en gammel adgangskode, når dens slutning ændres, eller en migrering af adgangskodefilen pludselig ødelægger konti med lange adgangskoder. Undersøg hash-formatet, før du forkorter alles adgangskoder.

Apaches htpasswd -d vælger den ældre crypt()-hashing. Dets dokumenterede DES-begrænsning er otte signifikante adgangskodetegn. Den begrænsning hører til formatet, ikke til en universel regel om otte tegn for adgangskoder i Squid.

NCSA-hjælperen læser den lagrede adgangskoderepræsentation og verificerer den angivne værdi med de formater, som hjælperen og dens platform understøtter. At kalde en fil “htpasswd-format” garanterer ikke, at enhver historisk og nuværende hjælper accepterer enhver hash-algoritme, som enhver htpasswd-indstilling producerer.

Migrer repræsentationen bevidst

Bevar en beskyttet sikkerhedskopi, og identificér det format, de eksisterende poster bruger. Tjek den installerede hjælpers manual og distributionens build, før du vælger erstatningsalgoritmen.

Bekræft derefter en lille godkendt testkonto gennem samme hjælper og proxyrute, som de rigtige konti bruger. At en generator skriver en fil korrekt beviser ikke, at den forbrugende hjælper kan validere den. Brug en testadgangskode, hvis signifikante tegn rækker ud over den gamle grænse.

Ændring af formater kræver normalt den faktiske adgangskode eller en nulstilling. Et gammelt hash kan ikke omdannes til et stærkere hash af den fulde oprindelige adgangskode, når den information aldrig blev bevaret.

Skeln til sidst mellem migreringsfejl og cachet godkendelse. En allerede godkendt klient kan fortsætte med at virke et stykke tid, selv når en ny validering ville fejle. Planlæg udrulningen omkring både frisk godkendelse og eksisterende sessioner.

Offentliggør ikke adgangskodefilen i en fejlrapport. Algoritmemarkøren og en syntetisk konto giver normalt mere brugbar dokumentation end rigtige brugeres hashes.