סיסמאות Squid ומגבלת שמונת התווים של DES crypt

פרוקסי מקבל סיסמה ישנה כשסיומה משתנה, או שהעברת קובץ הסיסמאות שוברת לפתע חשבונות עם סיסמאות ארוכות. בדקו את פורמט ה-hash לפני שתקצרו את הסיסמאות של כולם.

htpasswd -d של Apache בוחר ב-hashing הישן crypt(). מגבלת ה-DES המתועדת שלו היא שמונה תווים משמעותיים בסיסמה. המגבלה שייכת לפורמט, ולא לכלל אוניברסלי של שמונה תווים לסיסמאות ב-Squid.

עוזר NCSA קורא את ייצוג הסיסמה המאוחסן ומאמת את הערך שסופק באמצעות הפורמטים שהעוזר ופלטפורמתו תומכים בהם. קריאה לקובץ “פורמט htpasswd” אינה מבטיחה שכל עוזר היסטורי ונוכחי מקבל כל אלגוריתם hash שכל אפשרות של htpasswd מייצרת.

העבירו את הייצוג במכוון

שמרו גיבוי מוגן וזהו את הפורמט שבו משתמשות הרשומות הקיימות. בדקו את המדריך של העוזר המותקן ואת ה-build של ההפצה לפני בחירת אלגוריתם ההחלפה.

לאחר מכן אמתו חשבון בדיקה קטן ומאושר דרך אותו עוזר ואותו נתיב פרוקסי שהחשבונות האמיתיים משתמשים בו. הצלחה של מחולל בכתיבת קובץ אינה מוכיחה שהעוזר הצורך יכול לאמת אותו. השתמשו בסיסמת בדיקה שתוויה המשמעותיים חורגים מהגבול הישן.

החלפת פורמטים דורשת בדרך כלל את הסיסמה בפועל או איפוס סיסמה. אי אפשר להפוך hash ישן ל-hash חזק יותר של הסיסמה המקורית המלאה אם המידע הזה מעולם לא נשמר.

לבסוף, הבדילו בין כשל העברה לבין אימות שנשמר במטמון. לקוח שכבר אומת עשוי להמשיך לעבוד זמן מה גם כאשר אימות חדש ייכשל. תכננו את הפריסה גם סביב אימות טרי וגם סביב הפעלות קיימות.

אל תפרסמו את קובץ הסיסמאות בדוח באג. סמן האלגוריתם וחשבון סינתטי מספקים בדרך כלל ראיות שימושיות יותר מה-hash של משתמשים אמיתיים.