Лозинке Squid-а и ограничење DES crypt-а на осам знакова
Пратите привидно скраћивање лозинке до формата сачуваног хеша пре него што оптужите Squid или тихо поново генеришете некомпатибилну датотеку лозинки.
Прокси прихвата стару лозинку када јој се промени завршетак, или миграција датотеке лозинки изненада поквари налоге са дугим лозинкама. Проверите формат хеша пре него што свима скратите лозинке.
Apache-ов htpasswd -d бира застарело crypt() хеширање. Његово документовано DES ограничење је осам значајних знакова лозинке. То ограничење припада формату, а не универзалном правилу од осам знакова за лозинке у Squid-у.
NCSA помоћник чита сачувани приказ лозинке и проверава достављену вредност форматима које подржавају тај помоћник и његова платформа. Назвати датотеку “htpasswd форматом” не гарантује да сваки историјски и тренутни помоћник прихвата сваки hash алгоритам који произведе било која опција htpasswd.
Намерно мигрирајте приказ
Чувајте заштићену резервну копију и утврдите формат који користе постојећи уноси. Проверите приручник инсталираног помоћника и build дистрибуције пре него што изаберете заменски алгоритам.
Затим проверите мали одобрени тестни налог кроз исти помоћник и исту путању кроз прокси коју користе стварни налози. Успешно писање датотеке генератором не доказује да је помоћник који је чита може валидирати. Користите тестну лозинку чији значајни знакови излазе изван старе границе.
Промена формата обично захтева стварну лозинку или поништавање лозинке. Стари hash не може се претворити у јачи hash пуне изворне лозинке ако та информација никада није сачувана.
На крају, разликујте неуспех миграције од кеширане аутентификације. Већ аутентификовани клијент може наставити да ради неко време чак и када би нова валидација пропала. Планирајте увођење и око свеже аутентификације и око постојећих сесија.
Не објављујте датотеку лозинки у пријави грешке. Ознака алгоритма и синтетички налог обично дају кориснији доказ од хешева стварних корисника.