מדוע אימות Basic של Squid עדיין מקבל סיסמה ישנה

שינוי קובץ הסיסמאות של Squid לא בהכרח גורם לכל בקשה עוקבת לקרוא שוב לתוכנית העזר. באימות Basic, ‏Squid יכול לשמור במטמון צמד שם משתמש וסיסמה שאומתו בהצלחה.

ההגדרה ב-Squid 6.13 שקובעת כמה זמן הבדיקה נחשבת תקפה היא credentialsttl. לדוגמה:

auth_param basic credentialsttl 5 minutes

זהו ערך מדיניות לדוגמה, ולא המלצה גורפת. בחרו אותו לפי השהיית ביטול הגישה המקובלת ולפי העומס שמערכת האימות האחורית יכולה לשאת.

הפרידו בין שלוש בדיקות

תחילה ודאו שערכתם את הקובץ שבו משתמשת תוכנית העזר הפעילה. שינוי נכון בקובץ שאינו בשימוש אינו משפיע. לאחר מכן בדקו שתוכנית העזר יכולה לקרוא את הקובץ ולאמת את פרטי החשבון החדשים. לבסוף בדקו בקשת פרוקסי חדשה דרך המופע הפעיל, שבו חלים גם מטמון פרטי ההתחברות וכללי הגישה.

בדקו בנפרד את תוכנית העזר ואת הפרוקסי הפעיל. תוכנית העזר מציגה מה המערכת האחורית מקבלת כעת, בעוד Squid עשוי להמשיך להשתמש באימות שנשמר במטמון. בעת החלפת הפרטים, בדקו גם שהחדשים עובדים וגם שהישנים נדחים אחרי חלון האימות המתאים.

השתמשו בחשבון בדיקה ייעודי לחקירת ההתנהגות. שמרו על אותה בקשה, אותו מקור לקוח ואותו יעד, והימנעו מסיסמאות אמיתיות בפלט פקודות משותף.

תכננו ביטול גישה במקום להסתמך על עריכת קובץ

תוקף אימות קצר יותר מגדיל את עבודת המערכת האחורית. לפני קיצורו בשירות עמוס, שקלו את קיבולת תוכניות העזר ובדקו את ההתנהגות עם המערכת האחורית האמיתית. אל תניחו שטעינת התצורה מחדש מוחקת כל מצב אימות רלוונטי, אלא אם הדבר הוכח בגרסה ובתצורה שלכם.

להסרה דחופה של גישה, חסימה מפורשת של חשבון או מקור יכולה לספק גבול נפרד. בדקו את החסימה מהנתיב המושפע במקום להסתמך רק על מחיקה מקובץ הסיסמאות.

הגדרה זו מתארת שמירה במטמון של אימות Basic. לסכמות אימות מוכוונות חיבור יש מצב נוסף, ואין להחיל עליהן את אותו מודל ביטול גישה על סמך הקבלה בלבד.