Squid-passord og DES crypt-grensen på åtte tegn

En proxy godtar et gammelt passord når slutten endres, eller en migrering av passordfilen ødelegger plutselig kontoer med lange passord. Undersøk hash-formatet før du forkorter alles passord.

Apaches htpasswd -d velger den eldre crypt()-hashen. Den dokumenterte DES-begrensningen er åtte signifikante passordtegn. Den begrensningen hører til formatet, ikke til en universell regel om åtte tegn for passord i Squid.

NCSA-hjelperen leser den lagrede passordrepresentasjonen og verifiserer den oppgitte verdien med formatene som hjelperen og plattformen støtter. Å kalle en fil “htpasswd-format” garanterer ikke at hver historisk og nåværende hjelper godtar hver hash-algoritme som produseres av hvert htpasswd-alternativ.

Migrer representasjonen bevisst

Ta vare på en beskyttet sikkerhetskopi og identifiser formatet de eksisterende oppføringene bruker. Sjekk håndboken til den installerte hjelperen og bygget av distribusjonen før du velger erstatningsalgoritmen.

Bekreft deretter en liten godkjent testkonto gjennom den samme hjelperen og proxybanen som de virkelige kontoene bruker. At en generator skriver en fil, beviser ikke at hjelperen som leser den kan validere den. Bruk et testpassord der de signifikante tegnene går ut over den gamle grensen.

Å bytte format krever vanligvis det faktiske passordet eller en tilbakestilling. En gammel hash kan ikke gjøres om til en sterkere hash av det fullstendige opprinnelige passordet hvis den informasjonen aldri ble bevart.

Til slutt, skill migrasjonsfeil fra hurtiglagret autentisering. En allerede autentisert klient kan fortsette å virke en stund selv når en ny validering ville feile. Planlegg utrullingen rundt både fersk autentisering og eksisterende økter.

Ikke publiser passordfilen i en feilrapport. Algoritmemarkøren og en syntetisk konto gir vanligvis mer nyttig bevis enn ekte brukeres hasher.