Squid-Passwörter und die Acht-Zeichen-Grenze von DES-crypt
Verfolgen Sie die scheinbare Passwortkürzung bis zum gespeicherten Hash-Format, bevor Sie Squid beschuldigen oder stillschweigend eine inkompatible Passwortdatei neu erzeugen.
Ein Proxy akzeptiert ein altes Passwort, wenn sich sein Ende ändert, oder eine Migration der Passwortdatei bricht plötzlich Konten mit langen Passwörtern. Prüfen Sie das Hash-Format, bevor Sie allen die Passwörter kürzen.
Apaches htpasswd -d wählt das alte crypt()-Hashing. Seine dokumentierte DES-Beschränkung sind acht signifikante Passwortzeichen. Diese Beschränkung gehört zum Format und nicht zu einer allgemeinen Acht-Zeichen-Regel für Passwörter in Squid.
Der NCSA-Helper liest die gespeicherte Passwortdarstellung und prüft den übergebenen Wert mit den Formaten, die dieser Helper und seine Plattform unterstützen. Eine Datei “htpasswd-Format” zu nennen, garantiert nicht, dass jeder historische und aktuelle Helper jeden Hash-Algorithmus akzeptiert, den jede htpasswd-Option erzeugt.
Migrieren Sie die Darstellung bewusst
Halten Sie eine geschützte Sicherung bereit und bestimmen Sie das Format der vorhandenen Einträge. Prüfen Sie das Handbuch des installierten Helpers und den Build der Distribution, bevor Sie den Ersatzalgorithmus wählen.
Verifizieren Sie dann ein kleines, freigegebenes Testkonto über denselben Helper und denselben Proxy-Pfad, den die echten Konten nutzen. Dass ein Generator eine Datei erfolgreich schreibt, belegt nicht, dass der konsumierende Helper sie validieren kann. Verwenden Sie ein Testpasswort, dessen signifikante Zeichen über die alte Grenze hinausreichen.
Ein Formatwechsel erfordert normalerweise das tatsächliche Passwort oder einen Passwort-Reset. Ein alter Hash lässt sich nicht in einen stärkeren Hash des vollständigen ursprünglichen Passworts umwandeln, wenn diese Information nie aufbewahrt wurde.
Unterscheiden Sie schließlich Migrationsfehler von zwischengespeicherter Authentifizierung. Ein bereits authentifizierter Client kann eine Weile weiterarbeiten, selbst wenn eine neue Validierung fehlschlagen würde. Planen Sie den Rollout sowohl um frische Authentifizierung als auch um bestehende Sitzungen herum.
Veröffentlichen Sie die Passwortdatei nicht in einem Fehlerbericht. Algorithmus-Marker und ein synthetisches Konto liefern meist brauchbarere Belege als die Hashes echter Nutzer.