Squids lösenord och DES crypt-gränsen på åtta tecken

En proxy accepterar ett gammalt lösenord när slutet ändras, eller en migrering av lösenordsfilen bryter plötsligt konton med långa lösenord. Granska hashformatet innan du förkortar allas lösenord.

Apaches htpasswd -d väljer den äldre crypt()-hashningen. Dess dokumenterade DES-begränsning är åtta signifikanta lösenordstecken. Begränsningen hör till formatet, inte till en universell regel om åtta tecken för lösenord i Squid.

NCSA-hjälparen läser den lagrade lösenordsrepresentationen och verifierar det angivna värdet med de format som hjälparen och dess plattform stöder. Att kalla en fil “htpasswd-format” garanterar inte att varje historisk och nuvarande hjälpare accepterar varje hashalgoritm som varje htpasswd-alternativ producerar.

Migrera representationen medvetet

Behåll en skyddad säkerhetskopia och identifiera formatet som de befintliga posterna använder. Kontrollera manualen för den installerade hjälparen och distributionens build innan du väljer ersättningsalgoritmen.

Verifiera sedan ett litet godkänt testkonto via samma hjälpare och samma proxyväg som de riktiga kontona använder. Att en generator skriver en fil framgångsrikt bevisar inte att hjälparen som läser den kan validera den. Använd ett testlösenord vars signifikanta tecken sträcker sig förbi den gamla gränsen.

Att byta format kräver vanligtvis det faktiska lösenordet eller en återställning. En gammal hash kan inte omvandlas till en starkare hash av det fullständiga ursprungliga lösenordet om den informationen aldrig bevarades.

Slutligen, skilj migreringsfel från cachelagrad autentisering. En redan autentiserad klient kan fortsätta att fungera ett tag även när en ny validering skulle misslyckas. Planera utrullningen kring både färsk autentisering och befintliga sessioner.

Publicera inte lösenordsfilen i en felrapport. Algoritmmarkören och ett syntetiskt konto ger oftast användbarare bevis än riktiga användares hashar.