Squid-passordene og DES crypt-grensen på åtte tegn

En proxy godtar et gammelt passord når slutten endrer seg, eller en migrering av passordfilen ødelegger plutselig kontoer med lange passord. Undersøk hash-formatet før du forkorter alles passord.

Apaches htpasswd -d velger den eldre crypt()-hashen. Den dokumenterte DES-begrensningen er åtte signifikante passordtegn. Begrensningen hører til formatet, ikke til en allmenn regel om åtte tegn for passord i Squid.

NCSA-hjelperen leser den lagrede passordrepresentasjonen og verifiserer den oppgitte verdien med formatene som hjelperen og plattformen støtter. Å kalle en fil “htpasswd-format” garanterer ikke at hver historisk og nåværende hjelper godtar hver hash-algoritme som produseres av hvert htpasswd-alternativ.

Migrer representasjonen med overlegg

Ta vare på en beskyttet sikkerhetskopi og finn ut hvilket format de eksisterende oppføringene bruker. Sjekk håndboken til den installerte hjelperen og bygget av distribusjonen før du velger erstatningsalgoritmen.

Bekreft deretter en liten godkjent testkonto gjennom den samme hjelperen og den samme proxyveien som de virkelige kontoene bruker. At en generator skriver en fil med hell, beviser ikke at hjelperen som leser den kan validere den. Bruk et testpassord der de signifikante tegnene går ut over den gamle grensen.

Å bytte format krever vanligvis det faktiske passordet eller en tilbakestilling av passordet. En gammel hash kan ikke gjøres om til en sterkere hash av det fullstendige opprinnelige passordet hvis den informasjonen aldri ble tatt vare på.

Til slutt må du skille migrasjonsfeil fra hurtiglagret autentisering. En klient som allerede er autentisert kan fortsette å virke en stund selv når en ny validering ville mislykkes. Planlegg utrullingen rundt både fersk autentisering og eksisterende økter.

Ikke publiser passordfilen i en feilrapport. Algoritmemarkøren og en syntetisk konto gir vanligvis nyttigere bevis enn hashene til virkelige brukere.