Waarom Squids Basic-authenticatie nog een oud wachtwoord accepteert

Het wijzigen van Squids wachtwoordbestand zorgt er niet noodzakelijk voor dat elke volgende aanvraag de helper opnieuw aanroept. Bij Basic-authenticatie kan Squid een met succes gevalideerd paar van gebruikersnaam en wachtwoord cachen.

De instelling in Squid 6.13 die bepaalt hoelang die controle als geldig wordt beschouwd, is credentialsttl. Bijvoorbeeld:

auth_param basic credentialsttl 5 minutes

Dit is een voorbeeldwaarde voor beleid, geen universele aanbeveling. Kies de waarde op basis van de aanvaardbare vertraging bij intrekking en de belasting die je authenticatiebackend aankan.

Houd drie controles uit elkaar

Bevestig eerst dat je het bestand hebt bewerkt dat de actieve helper gebruikt. Een correcte wijziging in een ongebruikt bestand heeft geen effect. Controleer daarna of de helper het bestand kan lezen en de nieuwe accountgegevens kan valideren. Test ten slotte een nieuwe proxyaanvraag via de draaiende instantie, waar ook de cache voor inloggegevens en toegangsregels gelden.

Test de helper en de draaiende proxy apart. De helper laat zien wat de backend momenteel accepteert, terwijl Squid nog een gecachte validatie kan hergebruiken. Controleer bij het vervangen zowel of de nieuwe gegevens werken als of de oude na de toepasselijke validatieperiode worden geweigerd.

Gebruik een apart testaccount om dit gedrag te onderzoeken. Houd de aanvraag, clientbron en bestemming gelijk en vermijd echte wachtwoorden in gedeelde opdrachtuitvoer.

Plan intrekking in plaats van alleen op een bestandswijziging te vertrouwen

Een kortere geldigheidsduur van de validatie geeft de backend meer werk. Overweeg vóór verkorting op een drukke dienst de capaciteit van de helpers en controleer het gedrag met de werkelijke backend. Neem niet aan dat het herladen van de configuratie alle relevante authenticatiestatus wist, tenzij dat voor jouw versie en inrichting is vastgesteld.

Voor dringend intrekken van toegang kan een expliciete toegangsweigering voor een account of bron een aparte grens vormen. Test die weigering vanaf de betrokken route in plaats van alleen te vertrouwen op verwijdering uit een wachtwoordbestand.

Deze instelling beschrijft de cache van Basic-validatie. Verbindingsgerichte authenticatieschema's hebben extra status en mogen niet op basis van alleen een analogie hetzelfde intrekkingsmodel krijgen.