As palavras-passe do Squid e o limite de oito caracteres do DES crypt
Rastreie o aparente truncamento da palavra-passe até ao formato do hash armazenado antes de culpar o Squid ou de regenerar silenciosamente um ficheiro de palavras-passe incompatível.
Um proxy aceita uma palavra-passe antiga quando o seu fim muda, ou uma migração do ficheiro de palavras-passe quebra de repente contas com palavras-passe longas. Inspecione o formato do hash antes de encurtar as palavras-passe de todos.
htpasswd -d do Apache seleciona o hashing antigo crypt(). A sua limitação DES documentada é de oito caracteres significativos da palavra-passe. Essa limitação pertence ao formato, não a uma regra universal de oito caracteres para as palavras-passe no Squid.
O auxiliar NCSA lê a representação armazenada da palavra-passe e verifica o valor fornecido com os formatos suportados por esse auxiliar e pela sua plataforma. Chamar a um ficheiro “formato htpasswd” não garante que todos os auxiliares históricos e atuais aceitem todos os algoritmos de hash produzidos por qualquer opção de htpasswd.
Migre a representação deliberadamente
Mantenha uma cópia de segurança protegida e identifique o formato usado pelos registos existentes. Consulte o manual do auxiliar instalado e a compilação da distribuição antes de escolher o algoritmo de substituição.
Depois verifique uma pequena conta de teste aprovada através do mesmo auxiliar e do mesmo caminho de proxy que as contas reais usam. O facto de um gerador escrever um ficheiro com sucesso não prova que o auxiliar que o consome o consiga validar. Use uma palavra-passe de teste cujos caracteres significativos ultrapassem o limite antigo.
Mudar de formato exige normalmente a palavra-passe real ou uma reposição da palavra-passe. Um hash antigo não pode ser transformado num hash mais forte da palavra-passe original completa se essa informação nunca foi conservada.
Por fim, distinga uma falha de migração de uma autenticação em cache. Um cliente já autenticado pode continuar a funcionar durante algum tempo mesmo quando uma nova validação falharia. Planeie a implementação tanto em torno da autenticação nova como das sessões existentes.
Não publique o ficheiro de palavras-passe num relatório de erro. O marcador do algoritmo e uma conta sintética costumam fornecer provas mais úteis do que os hashes de utilizadores reais.