Contrasinais de Squid e o límite de oito caracteres de DES crypt
Segue o aparente truncamento do contrasinal ata o formato do hash almacenado antes de culpar Squid ou de rexerar en silencio un ficheiro de contrasinais incompatible.
Un proxy acepta un contrasinal antigo cando cambia o seu final, ou unha migración do ficheiro de contrasinais rompe de golpe as contas con contrasinais longos. Inspecciona o formato do hash antes de acurtar os contrasinais de todos.
htpasswd -d de Apache escolle o hash herdado crypt(). A súa limitación documentada de DES é de oito caracteres significativos de contrasinal. Esa limitación pertence ao formato, non a unha regra universal de oito caracteres para os contrasinais en Squid.
O axudante NCSA le a representación almacenada do contrasinal e verifica o valor subministrado cos formatos que admiten ese axudante e a súa plataforma. Chamar a un ficheiro “formato htpasswd” non garante que todos os axudantes históricos e actuais acepten todos os algoritmos de hash que produce calquera opción de htpasswd.
Migra a representación de xeito deliberado
Mantén unha copia de seguridade protexida e identifica o formato que usan as entradas existentes. Consulta o manual do axudante instalado e a compilación da distribución antes de escoller o algoritmo de substitución.
Despois verifica unha conta de proba pequena e aprobada a través do mesmo axudante e da mesma ruta de proxy que usan as contas reais. Que un xerador escriba un ficheiro correctamente non demostra que o axudante que o consome poida validalo. Usa un contrasinal de proba cuxos caracteres significativos vaian máis alá do límite antigo.
Cambiar de formato normalmente require o contrasinal real ou un restablecemento de contrasinal. Un hash antigo non se pode transformar nun hash máis forte do contrasinal orixinal completo se esa información nunca se conservou.
Por último, distingue un fallo de migración dunha autenticación en caché. Un cliente xa autenticado pode seguir funcionando un tempo aínda que unha nova validación fallase. Planifica o despregamento tanto arredor da autenticación nova como das sesións existentes.
Non publiques o ficheiro de contrasinais nun informe de erro. O marcador do algoritmo e unha conta sintética adoitan achegar probas máis útiles que os hashes de usuarios reais.