Contraseñas de Squid y el límite de ocho caracteres de DES crypt
Rastree el aparente truncamiento de la contraseña hasta el formato del hash almacenado antes de culpar a Squid o de regenerar en silencio un archivo de contraseñas incompatible.
Un proxy acepta una contraseña antigua cuando cambia su final, o una migración del archivo de contraseñas rompe de golpe las cuentas con contraseñas largas. Inspeccione el formato del hash antes de acortar las contraseñas de todos.
htpasswd -d de Apache elige el hashing heredado crypt(). Su limitación documentada de DES es de ocho caracteres significativos de contraseña. Esa limitación pertenece al formato, no a una regla universal de ocho caracteres para las contraseñas en Squid.
El asistente NCSA lee la representación almacenada de la contraseña y verifica el valor suministrado con los formatos que admiten ese asistente y su plataforma. Llamar a un archivo “formato htpasswd” no garantiza que todos los asistentes históricos y actuales acepten todos los algoritmos de hash que produce cualquier opción de htpasswd.
Migre la representación de forma deliberada
Mantenga una copia de seguridad protegida e identifique el formato que usan las entradas existentes. Consulte el manual del asistente instalado y la compilación de la distribución antes de elegir el algoritmo de sustitución.
Después verifique una cuenta de prueba pequeña y aprobada a través del mismo asistente y de la misma ruta de proxy que usan las cuentas reales. Que un generador escriba un archivo correctamente no demuestra que el asistente que lo consume pueda validarlo. Use una contraseña de prueba cuyos caracteres significativos vayan más allá del límite antiguo.
Cambiar de formato normalmente exige la contraseña real o un restablecimiento de contraseña. Un hash antiguo no puede convertirse en un hash más fuerte de la contraseña original completa si esa información nunca se conservó.
Por último, distinga un fallo de migración de una autenticación en caché. Un cliente ya autenticado puede seguir funcionando un tiempo aunque una nueva validación fallara. Planifique el despliegue tanto en torno a la autenticación nueva como a las sesiones existentes.
No publique el archivo de contraseñas en un informe de error. El marcador del algoritmo y una cuenta sintética suelen aportar pruebas más útiles que los hash de usuarios reales.