Warum Squids Basic-Authentifizierung ein altes Passwort weiter akzeptiert

Eine Änderung an Squids Passwortdatei führt nicht unbedingt dazu, dass jede folgende Anfrage den Helfer erneut aufruft. Bei Basic-Authentifizierung kann Squid ein erfolgreich geprüftes Paar aus Benutzername und Passwort zwischenspeichern.

Die Squid-6.13-Einstellung, die bestimmt, wie lange diese Prüfung als gültig gilt, heißt credentialsttl. Zum Beispiel:

auth_param basic credentialsttl 5 minutes

Dies ist ein Beispielwert für eine Richtlinie, keine allgemeingültige Empfehlung. Wählen Sie ihn anhand der vertretbaren Widerrufsverzögerung und der Last, die Ihr Authentifizierungsbackend bewältigen kann.

Drei Prüfungen voneinander trennen

Vergewissern Sie sich zunächst, dass Sie die vom aktiven Helfer verwendete Datei bearbeitet haben. Eine korrekte Änderung an einer ungenutzten Datei hat keine Wirkung. Prüfen Sie dann, ob der Helfer die Datei lesen und die neuen Kontodaten validieren kann. Testen Sie abschließend eine neue Proxyanfrage über die laufende Instanz, in der auch Zugangsdaten-Cache und Zugriffsregeln wirken.

Testen Sie den Helfer und den laufenden Proxy getrennt. Der Helfer zeigt die aktuelle Akzeptanz im Backend, während Squid womöglich noch eine zwischengespeicherte Prüfung verwendet. Prüfen Sie beim Wechsel sowohl, dass die neuen Daten funktionieren, als auch, dass die alten nach dem maßgeblichen Prüfzeitfenster abgewiesen werden.

Nutzen Sie zur Untersuchung ein eigenes Testkonto. Halten Sie Anfrage, Clientquelle und Ziel gleich und vermeiden Sie echte Passwörter in gemeinsam genutzten Befehlsausgaben.

Widerruf planen statt auf eine Dateiänderung zu vertrauen

Eine kürzere Gültigkeit der Prüfung erhöht die Backendlast. Berücksichtigen Sie vor einer Verkürzung für einen stark genutzten Dienst die Helferkapazität und prüfen Sie das Verhalten mit dem tatsächlichen Backend. Nehmen Sie nicht an, dass ein Neuladen der Konfiguration jeden relevanten Authentifizierungszustand leert, sofern dies nicht für Ihre Version und Einrichtung nachgewiesen ist.

Bei dringendem Zugriffsentzug kann ein ausdrückliches Zugriffsverbot für Konto oder Quelle eine separate Grenze schaffen. Testen Sie diese Sperre vom betroffenen Zugriffsweg aus, statt sich nur auf das Entfernen aus einer Passwortdatei zu verlassen.

Diese Einstellung beschreibt den Cache für Basic-Prüfungen. Verbindungsorientierte Authentifizierungsverfahren haben zusätzlichen Zustand und sollten nicht per Analogie dasselbe Widerrufsmodell erhalten.