Squid-jelszavak és a DES crypt nyolckarakteres korlátja

A proxy elfogad egy régi jelszót, amikor annak vége megváltozik, vagy a jelszófájl migrációja hirtelen tönkreteszi a hosszú jelszavú fiókokat. Vizsgálja meg a hash formátumát, mielőtt mindenki jelszavát lerövidítené.

Az Apache htpasswd -d a régi crypt() hashelést választja. Dokumentált DES-korlátja nyolc jelentős jelszókarakter. Ez a korlát a formátumé, nem egy általános nyolckarakteres szabályé a Squid jelszavaira.

Az NCSA segédprogram beolvassa a tárolt jelszó-reprezentációt, és a megadott értéket azon formátumokkal ellenőrzi, amelyeket a segédprogram és platformja támogat. Egy fájl “htpasswd-formátumnak” nevezése nem garantálja, hogy minden történeti és jelenlegi segédprogram elfogad minden hash-algoritmust, amelyet bármely htpasswd-opció előállít.

Szándékosan migrálja a reprezentációt

Tartson védett biztonsági mentést, és azonosítsa a meglévő bejegyzések formátumát. A cserealgoritmus kiválasztása előtt nézze meg a telepített segédprogram kézikönyvét és a disztribúció buildjét.

Ezután ellenőrizzen egy kis, jóváhagyott tesztfiókot ugyanazon a segédprogramon és proxyúton keresztül, amelyet a valódi fiókok használnak. Az, hogy egy generátor sikeresen ír fájlt, nem bizonyítja, hogy a fogyasztó segédprogram validálni tudja. Használjon olyan tesztjelszót, amelynek jelentős karakterei túlnyúlnak a régi határon.

A formátumváltás általában a tényleges jelszót vagy jelszó-visszaállítást igényli. Egy régi hash nem alakítható a teljes eredeti jelszó erősebb hashévé, ha ezt az információt soha nem őrizték meg.

Végül különböztesse meg a migrációs hibát a gyorsítótárazott hitelesítéstől. Egy már hitelesített kliens egy ideig tovább működhet, még akkor is, ha egy új validálás meghiúsulna. Tervezze meg a bevezetést a friss hitelesítésre és a meglévő munkamenetekre egyaránt tekintettel.

Ne tegye közzé a jelszófájlt hibajelentésben. Az algoritmusjelölő és egy szintetikus fiók általában hasznosabb bizonyítékot ad, mint a valódi felhasználók hashjei.