Паролі Squid і восьмисимвольна межа DES crypt

Проксі приймає старий пароль, коли змінюється його кінець, або міграція файлу паролів раптом ламає облікові записи з довгими паролями. Перевірте формат хешу, перш ніж скорочувати паролі всім.

htpasswd -d в Apache вибирає застаріле хешування crypt(). Його задокументоване обмеження DES — вісім значущих символів пароля. Це обмеження належить формату, а не універсальному правилу восьми символів для паролів у Squid.

Помічник NCSA читає збережене подання пароля і перевіряє надане значення у форматах, які підтримують цей помічник і його платформа. Назвати файл “форматом htpasswd” не означає гарантувати, що кожен історичний і поточний помічник прийме кожен алгоритм хешування, створений будь-яким варіантом htpasswd.

Переносьте подання свідомо

Тримайте захищену резервну копію і визначте формат, який використовують наявні записи. Перевірте посібник встановленого помічника і збірку дистрибутива, перш ніж вибирати алгоритм заміни.

Потім перевірте невеликий дозволений тестовий обліковий запис через той самий помічник і той самий шлях через проксі, що й справжні записи. Успішний запис файлу генератором не доводить, що читаючий помічник зможе його перевірити. Використовуйте тестовий пароль, значущі символи якого виходять за стару межу.

Зміна форматів зазвичай потребує справжнього пароля або скидання пароля. Старий хеш не можна перетворити на стійкіший хеш повного оригінального пароля, якщо ця інформація ніколи не зберігалася.

Насамкінець, відрізняйте збій міграції від кешованої автентифікації. Уже автентифікований клієнт може ще деякий час працювати, навіть якщо нова перевірка завершилася б невдачею. Плануйте розгортання з огляду і на нову автентифікацію, і на наявні сеанси.

Не публікуйте файл паролів у звіті про помилку. Маркер алгоритму і синтетичний обліковий запис зазвичай дають корисніші докази, ніж хеші реальних користувачів.