Perché l’autenticazione Basic di Squid accetta ancora una vecchia password

Modificare il file delle password di Squid non obbliga necessariamente ogni richiesta successiva a richiamare l’helper. Con l’autenticazione Basic, Squid può memorizzare in cache una coppia di nome utente e password convalidata con successo.

L’impostazione di Squid 6.13 che controlla per quanto tempo tale verifica viene considerata valida è credentialsttl. Per esempio:

auth_param basic credentialsttl 5 minutes

Questo è un valore di criterio di esempio, non una raccomandazione universale. Sceglilo in base al ritardo di revoca accettabile e al carico che il backend di autenticazione può sostenere.

Separa tre verifiche

Per prima cosa conferma di aver modificato il file usato dall’helper attivo. Una modifica corretta a un file inutilizzato non ha effetto. Poi controlla che l’helper possa leggere il file e convalidare le nuove informazioni dell’account. Infine, prova una nuova richiesta proxy tramite l’istanza in esecuzione, dove si applicano anche la cache delle credenziali e le regole di accesso.

Prova separatamente l’helper e il proxy in esecuzione. L’helper mostra ciò che il backend accetta al momento, mentre Squid potrebbe ancora riutilizzare una convalida in cache. Durante la rotazione verifica sia che le nuove credenziali funzionino sia che le vecchie vengano rifiutate dopo la finestra di convalida applicabile.

Usa un account di prova dedicato per analizzare questo comportamento. Mantieni invariati richiesta, origine del client e destinazione, ed evita password reali nell’output dei comandi condiviso.

Pianifica la revoca invece di affidarti alla modifica di un file

Una durata di validità più breve aumenta il lavoro del backend. Prima di ridurla su un servizio molto utilizzato, considera la capacità degli helper e verifica il comportamento con il backend effettivo. Non presumere che ricaricare la configurazione cancelli ogni stato di autenticazione rilevante, a meno che sia stato accertato per la tua versione e configurazione.

Per rimuovere urgentemente l’accesso, un divieto esplicito per account o origine può fornire un confine separato. Prova quel divieto dal percorso interessato invece di affidarti soltanto alla rimozione dal file delle password.

Questa impostazione descrive la cache della convalida Basic. Gli schemi di autenticazione orientati alla connessione hanno stato aggiuntivo e non devono ricevere per analogia lo stesso modello di revoca.