Mots de passe Squid et la limite de huit caractères de DES crypt
Remontez la troncature apparente du mot de passe jusqu'au format de hachage stocké avant d'accuser Squid ou de régénérer silencieusement un fichier de mots de passe incompatible.
Un proxy accepte un ancien mot de passe lorsque sa fin change, ou une migration du fichier de mots de passe casse soudain les comptes à mots de passe longs. Inspectez le format de hachage avant de raccourcir les mots de passe de tout le monde.
htpasswd -d d'Apache sélectionne le hachage hérité crypt(). Sa limitation DES documentée est de huit caractères significatifs de mot de passe. Cette limite appartient au format, non à une règle universelle de huit caractères pour les mots de passe dans Squid.
L'assistant NCSA lit la représentation stockée du mot de passe et vérifie la valeur fournie avec les formats pris en charge par cet assistant et sa plateforme. Appeler un fichier “format htpasswd” ne garantit pas que tous les assistants historiques et actuels acceptent tous les algorithmes de hachage produits par chaque option de htpasswd.
Migrez la représentation délibérément
Conservez une sauvegarde protégée et identifiez le format utilisé par les entrées existantes. Consultez le manuel de l'assistant installé et la compilation de la distribution avant de choisir l'algorithme de remplacement.
Vérifiez ensuite un petit compte de test approuvé via le même assistant et le même chemin proxy que les comptes réels. Qu'un générateur écrive correctement un fichier ne prouve pas que l'assistant consommateur puisse le valider. Utilisez un mot de passe de test dont les caractères significatifs dépassent l'ancienne limite.
Changer de format exige normalement le mot de passe réel ou une réinitialisation. Un hachage hérité ne peut pas être transformé en un hachage plus fort du mot de passe d'origine complet si cette information n'a jamais été conservée.
Enfin, distinguez un échec de migration d'une authentification en cache. Un client déjà authentifié peut continuer à fonctionner un moment même si une nouvelle validation échouait. Planifiez le déploiement autour de l'authentification nouvelle comme des sessions existantes.
Ne publiez pas le fichier de mots de passe dans un rapport de bogue. Le marqueur d'algorithme et un compte synthétique fournissent généralement des preuves plus utiles que les hachages d'utilisateurs réels.