Parolele Squid și limita de opt caractere a DES crypt

Un proxy acceptă o parolă veche atunci când sfârșitul ei se schimbă, sau o migrare a fișierului de parole rupe brusc conturile cu parole lungi. Inspectați formatul hash-ului înainte de a scurta parolele tuturor.

htpasswd -d din Apache selectează hashing-ul vechi crypt(). Limitarea DES documentată este de opt caractere semnificative ale parolei. Acea limitare aparține formatului, nu unei reguli universale de opt caractere pentru parole în Squid.

Ajutorul NCSA citește reprezentarea stocată a parolei și verifică valoarea furnizată cu formatele acceptate de acel ajutor și de platforma sa. A numi un fișier “format htpasswd” nu garantează că fiecare ajutor istoric și actual acceptă fiecare algoritm hash produs de fiecare opțiune htpasswd.

Migrați reprezentarea în mod deliberat

Păstrați o copie de siguranță protejată și identificați formatul folosit de intrările existente. Verificați manualul ajutorului instalat și build-ul distribuției înainte de a alege algoritmul de înlocuire.

Apoi verificați un cont de test mic și aprobat prin același ajutor și aceeași cale de proxy pe care le folosesc conturile reale. Faptul că un generator scrie cu succes un fișier nu dovedește că ajutorul care îl citește îl poate valida. Folosiți o parolă de test ale cărei caractere semnificative depășesc vechea limită.

Schimbarea formatelor necesită de obicei parola reală sau o resetare a parolei. Un hash vechi nu poate fi transformat într-un hash mai puternic al parolei originale complete dacă acea informație nu a fost niciodată păstrată.

În final, distingeți eșecul migrării de autentificarea din cache. Un client deja autentificat poate continua să funcționeze o vreme chiar dacă o validare nouă ar eșua. Planificați lansarea atât în jurul autentificării noi, cât și al sesiunilor existente.

Nu publicați fișierul de parole într-un raport de eroare. Marcajul algoritmului și un cont sintetic oferă de obicei dovezi mai utile decât hash-urile utilizatorilor reali.