Pourquoi l’authentification Basic de Squid accepte encore un ancien mot de passe

Modifier le fichier des mots de passe de Squid n’oblige pas nécessairement chaque requête suivante à rappeler l’auxiliaire. Pour l’authentification Basic, Squid peut mettre en cache une paire nom d’utilisateur et mot de passe validée avec succès.

Le paramètre de Squid 6.13 qui détermine pendant combien de temps cette vérification reste considérée comme valide est credentialsttl. Par exemple :

auth_param basic credentialsttl 5 minutes

Il s’agit d’un exemple de valeur de politique, pas d’une recommandation universelle. Choisissez-la selon le délai de révocation acceptable et la charge que votre backend d’authentification peut supporter.

Distinguez trois vérifications

Confirmez d’abord que vous avez modifié le fichier utilisé par l’auxiliaire actif. Une modification correcte dans un fichier inutilisé n’a aucun effet. Vérifiez ensuite que l’auxiliaire peut lire le fichier et valider les nouvelles informations du compte. Enfin, testez une nouvelle requête proxy via l’instance en cours d’exécution, où le cache des identifiants et les règles d’accès s’appliquent également.

Testez séparément l’auxiliaire et le proxy en cours d’exécution. L’auxiliaire indique ce que le backend accepte actuellement, tandis que Squid peut encore réutiliser une validation en cache. Lors de la rotation, vérifiez à la fois que les nouveaux identifiants fonctionnent et que les anciens sont rejetés après la fenêtre de validation applicable.

Utilisez un compte de test dédié pour étudier ce comportement. Gardez la requête, la source du client et la cible identiques, et évitez les vrais mots de passe dans les sorties de commandes partagées.

Planifiez la révocation plutôt que de compter sur une modification de fichier

Une durée de validité plus courte augmente le travail du backend. Avant de la réduire sur un service chargé, considérez la capacité des auxiliaires et vérifiez le comportement avec le backend réel. Ne supposez pas qu’un rechargement de configuration efface tous les états d’authentification concernés, sauf si cela a été établi pour votre version et votre configuration.

Pour retirer l’accès en urgence, un refus explicite d’accès pour un compte ou une source peut fournir une limite distincte. Testez ce refus depuis le chemin d’accès concerné plutôt que de compter uniquement sur la suppression dans un fichier de mots de passe.

Ce paramètre décrit le cache de validation Basic. Les mécanismes d’authentification orientés connexion ont des états supplémentaires et ne doivent pas recevoir le même modèle de révocation par simple analogie.