Squid lozinke i ograničenje DES crypt na osam znakova

Proxy prihvata staru lozinku kada joj se promeni završetak, ili migracija datoteke lozinki iznenada pokvari naloge sa dugim lozinkama. Proverite format hasha pre nego što svima skratite lozinke.

Apacheov htpasswd -d bira zastarelo crypt() heširanje. Njegovo dokumentovano DES ograničenje je osam značajnih znakova lozinke. To ograničenje pripada formatu, a ne univerzalnom pravilu od osam znakova za lozinke u Squidu.

NCSA pomoćnik čita sačuvani prikaz lozinke i proverava dostavljenu vrednost formatima koje podržavaju taj pomoćnik i njegova platforma. Nazvati datoteku “htpasswd formatom” ne garantuje da svaki istorijski i trenutni pomoćnik prihvata svaki hash algoritam koji proizvede bilo koja opcija htpasswd.

Namerno migrirajte prikaz

Držite zaštićenu rezervnu kopiju i utvrdite format koji koriste postojeći unosi. Proverite priručnik instaliranog pomoćnika i build distribucije pre nego što odaberete zamenski algoritam.

Zatim proverite mali odobreni testni nalog kroz isti pomoćnik i putanju kroz proxy koju koriste stvarni nalozi. Uspešno pisanje datoteke generatorom ne dokazuje da je pomoćnik koji je čita može validirati. Koristite testnu lozinku čiji značajni znakovi izlaze izvan stare granice.

Promena formata obično zahteva stvarnu lozinku ili poništavanje lozinke. Stari hash ne može se pretvoriti u jači hash pune izvorne lozinke ako ta informacija nikada nije sačuvana.

Na kraju, razlikujte neuspeh migracije od keširane autentifikacije. Već autentifikovani klijent može nastaviti da radi neko vreme čak i kada bi nova validacija propala. Planirajte uvođenje i oko sveže autentifikacije i oko postojećih sesija.

Ne objavljujte datoteku lozinki u prijavi greške. Oznaka algoritma i sintetički nalog obično daju korisniji dokaz od hasheva stvarnih korisnika.