Squid lozinke i ograničenje DES crypt na osam znakova

Proxy prihvaća staru lozinku kada joj se promijeni završetak, ili migracija datoteke lozinki iznenada pokvari račune s dugim lozinkama. Provjerite format hasha prije nego svima skratite lozinke.

Apacheov htpasswd -d odabire zastarjelo crypt() heširanje. Njegovo dokumentirano DES ograničenje je osam značajnih znakova lozinke. To ograničenje pripada formatu, a ne univerzalnom pravilu od osam znakova za lozinke u Squidu.

NCSA pomoćnik čita spremljeni prikaz lozinke i provjerava dostavljenu vrijednost formatima koje podržava taj pomoćnik i njegova platforma. Nazvati datoteku “htpasswd formatom” ne jamči da svaki povijesni i trenutni pomoćnik prihvaća svaki hash algoritam koji proizvede bilo koja opcija htpasswd.

Namjerno migrirajte prikaz

Držite zaštićenu sigurnosnu kopiju i utvrdite format koji koriste postojeći unosi. Provjerite priručnik instaliranog pomoćnika i build distribucije prije odabira zamjenskog algoritma.

Zatim provjerite mali odobreni testni račun kroz isti pomoćnik i putanju kroz proxy koju koriste stvarni računi. Uspješno pisanje datoteke generatorom ne dokazuje da ju pomoćnik koji je čita može validirati. Koristite testnu lozinku čiji značajni znakovi izlaze izvan stare granice.

Promjena formata obično zahtijeva stvarnu lozinku ili poništavanje lozinke. Stari hash ne može se pretvoriti u jači hash pune izvorne lozinke ako ta informacija nikada nije sačuvana.

Na kraju, razlikujte neuspjeh migracije od predmemorirane autentifikacije. Već autentificirani klijent može nastaviti raditi neko vrijeme čak i kada bi nova validacija propala. Planirajte uvođenje i oko svježe autentifikacije i oko postojećih sesija.

Ne objavljujte datoteku lozinki u prijavi pogreške. Oznaka algoritma i sintetički račun obično daju korisniji dokaz od hasheva stvarnih korisnika.