Mật khẩu Squid và giới hạn tám ký tự của DES crypt

Proxy chấp nhận mật khẩu cũ khi phần cuối của nó thay đổi, hoặc việc di chuyển tệp mật khẩu đột nhiên làm hỏng các tài khoản dùng mật khẩu dài. Hãy kiểm tra định dạng hash trước khi rút ngắn mật khẩu của mọi người.

htpasswd -d của Apache chọn cách băm crypt() cũ. Giới hạn DES được ghi trong tài liệu là tám ký tự có nghĩa của mật khẩu. Giới hạn đó thuộc về định dạng, không phải một quy tắc phổ quát tám ký tự cho mật khẩu trong Squid.

Trình trợ giúp NCSA đọc biểu diễn mật khẩu đã lưu và xác minh giá trị được cung cấp bằng những định dạng mà trình trợ giúp đó và nền tảng của nó hỗ trợ. Gọi một tệp là “định dạng htpasswd” không bảo đảm rằng mọi trình trợ giúp trong quá khứ và hiện tại chấp nhận mọi thuật toán băm do mọi tùy chọn htpasswd tạo ra.

Chuyển biểu diễn một cách có chủ đích

Giữ một bản sao lưu được bảo vệ và xác định định dạng mà các mục hiện có sử dụng. Xem hướng dẫn của trình trợ giúp đã cài đặt và bản dựng của bản phân phối trước khi chọn thuật toán thay thế.

Sau đó xác minh một tài khoản thử nghiệm nhỏ đã được phê duyệt qua đúng trình trợ giúp và đúng đường proxy mà các tài khoản thật dùng. Việc trình tạo ghi tệp thành công không chứng minh rằng trình trợ giúp đọc nó có thể xác thực nó. Dùng mật khẩu thử nghiệm có các ký tự có nghĩa vượt qua ranh giới cũ.

Đổi định dạng thường cần mật khẩu thật hoặc đặt lại mật khẩu. Không thể biến một hash cũ thành hash mạnh hơn của toàn bộ mật khẩu gốc nếu thông tin đó chưa từng được lưu giữ.

Cuối cùng, hãy phân biệt lỗi chuyển đổi với xác thực được lưu trong bộ nhớ đệm. Một máy khách đã xác thực có thể tiếp tục hoạt động một thời gian ngay cả khi một lần xác thực mới sẽ thất bại. Lập kế hoạch triển khai dựa trên cả xác thực mới lẫn các phiên hiện có.

Đừng công bố tệp mật khẩu trong báo cáo lỗi. Dấu thuật toán và một tài khoản tổng hợp thường cung cấp bằng chứng hữu ích hơn hash của người dùng thật.