Zašto Squid Basic autentifikacija i dalje prihvaća staru lozinku

Promjena Squidove datoteke lozinki ne znači nužno da će svaki sljedeći zahtjev ponovno pozvati pomoćni program. Kod Basic autentifikacije Squid može u predmemoriju pohraniti uspješno provjeren par korisničkog imena i lozinke.

Postavka Squida 6.13 koja određuje koliko se ta provjera smatra valjanom jest credentialsttl. Na primjer:

auth_param basic credentialsttl 5 minutes

Ovo je primjer vrijednosti politike, ne univerzalna preporuka. Odaberite je prema prihvatljivom kašnjenju opoziva i opterećenju koje vaš autentifikacijski backend može podnijeti.

Razdvojite tri provjere

Prvo potvrdite da ste uredili datoteku koju koristi aktivni pomoćni program. Ispravna promjena nekorištene datoteke nema učinka. Zatim provjerite može li pomoćni program čitati datoteku i provjeriti nove podatke računa. Na kraju testirajte nov proxy zahtjev kroz pokrenutu instancu, gdje se također primjenjuju predmemorija vjerodajnica i pravila pristupa.

Testirajte pomoćni program i pokrenuti proxy odvojeno. Pomoćni program pokazuje što backend trenutačno prihvaća, dok Squid možda još koristi provjeru iz predmemorije. Tijekom rotacije provjerite i da nove vjerodajnice rade i da se stare odbijaju nakon odgovarajućeg razdoblja valjanosti provjere.

Koristite namjenski testni račun pri istraživanju ovog ponašanja. Zadržite isti zahtjev, izvor klijenta i odredište, a stvarne lozinke ne stavljajte u dijeljeni izlaz naredbi.

Planirajte opoziv umjesto oslanjanja na izmjenu datoteke

Kraća valjanost provjere povećava rad backenda. Prije skraćivanja na opterećenoj usluzi razmotrite kapacitet pomoćnih programa i provjerite ponašanje sa stvarnim backendom. Ne pretpostavljajte da ponovno učitavanje konfiguracije briše svako relevantno stanje autentifikacije ako to nije utvrđeno za vašu verziju i postavu.

Za hitno ukidanje pristupa izričita zabrana pristupa računu ili izvoru može pružiti zasebnu granicu. Testirajte tu zabranu s pogođene rute umjesto oslanjanja samo na uklanjanje iz datoteke lozinki.

Ova postavka opisuje predmemoriju Basic provjere. Autentifikacijske sheme orijentirane na vezu imaju dodatno stanje i ne treba im po analogiji dodijeliti isti model opoziva.