Heslá Squid a limit DES crypt na osem znakov

Proxy prijme staré heslo, keď sa zmení jeho koniec, alebo migrácia súboru hesiel zrazu pokazí účty s dlhými heslami. Preskúmajte formát hashu, kým skrátite heslá všetkým.

htpasswd -d v Apache volí zastarané hašovanie crypt(). Jeho dokumentované obmedzenie DES je osem významných znakov hesla. Toto obmedzenie patrí formátu, nie univerzálnemu pravidlu ôsmich znakov pre heslá v Squide.

Pomocník NCSA číta uloženú reprezentáciu hesla a overuje zadanú hodnotu vo formátoch, ktoré podporuje tento pomocník a jeho platforma. Nazvať súbor “formátom htpasswd” nezaručuje, že každý historický aj súčasný pomocník prijme každý hašovací algoritmus vytvorený ktoroukoľvek voľbou htpasswd.

Migrujte reprezentáciu zámerne

Uchovajte chránenú zálohu a zistite formát, ktorý používajú existujúce záznamy. Pred voľbou náhradného algoritmu si preštudujte manuál nainštalovaného pomocníka a build distribúcie.

Potom overte malý schválený testovací účet tou istou cestou cez pomocníka a proxy, ktorú používajú skutočné účty. Úspešný zápis súboru generátorom nepreukazuje, že ho konzumujúci pomocník dokáže validovať. Použite testovacie heslo, ktorého významné znaky presahujú starú hranicu.

Zmena formátu zvyčajne vyžaduje skutočné heslo alebo reset hesla. Starý hash nemožno premeniť na silnejší hash plného pôvodného hesla, ak táto informácia nebola nikdy uchovaná.

Nakoniec odlíšte zlyhanie migrácie od kešovanej autentizácie. Už autentizovaný klient môže ešte chvíľu pokračovať v práci, aj keď by nová validácia zlyhala. Naplánujte nasadenie s ohľadom na čerstvú autentizáciu aj existujúce relácie.

Nezverejňujte súbor hesiel v hlásení chyby. Značka algoritmu a syntetický účet zvyčajne poskytnú užitočnejšie dôkazy než hashe skutočných používateľov.