vexim klartext passwörter in db

[wintermute]

hallo,

ich habe nach dem Exim4-vexim2-howto von debianhowto.de vexim eingerichtet. das ganze funktioniert auch alles ohne probleme.
was mich stört ist, dass vexim in der mysql-db die passwörter der benutzer nicht nur verschlüsselt, sondern auch einmal im klartext ablegt.
weiß jemand, ob man das irgendwie verhindern kann, bzw wozu die passwörter überhaupt noch zusätzlich im klartext abgelegt werden müssen?

[Roger Wilco]

weiß jemand, ob man das irgendwie verhindern kann, bzw wozu die passwörter überhaupt noch zusätzlich im klartext abgelegt werden müssen?

Damit Authentifizierungsmechanismen wie CRAM-MD5, DIGEST-MD5 und NTLM möglich sind. Das geht mit gehashten Passwörtern nicht.
Wer außer dir bzw. Exim hat denn noch Zugriff auf die Datenbank, so dass es zu einem Problem wird?
Um das abzustellen musst du lediglich vexim2 ein wenig verändern, so dass eben nur noch die Hashes in die Datenbank geschrieben werden.

[wintermute]

wozu benötigen die authentifizierungsmechanismen denn ein klartextpw? die hashfkt dienen ja gerade dem zweck, dass man pw nicht im klartext speichern muss...

ist schon richtig, dass sonst niemand auf die db zugriff hat... ist aber trotzdem nicht so eine tolle lösung, da man ja nicht ausschliessen kann, dass eine solche db durch sicherheitslücken einem falschen in die hände gerät....

naja, werde mich dann wohl erstmal damit abfinden müssen...

[Roger Wilco]

wozu benötigen die authentifizierungsmechanismen denn ein klartextpw? die hashfkt dienen ja gerade dem zweck, dass man pw nicht im klartext speichern muss...

CRAM bei CRAM-MD5 bedeutet z. B. "challenge-response authentication mechanism". Die Challenge wird aus dem Passwort, einem Timestamp und dem FQDN des Servers generiert, siehe RFC 2195.
Läutet es langsam, warum man dann mit einem gehashten Passwort in der DB nicht weit kommt? ;)

[wintermute]

RFC 2195:

Code: Select all

This specification provides a simple challenge-response
authentication protocol that is suitable for use with IMAP4.  Since
it utilizes Keyed-MD5 digests and does not require that the secret be
stored in the clear on the server (...)

hab mich zwar jetzt nich näher mit dem protokoll befasst, aber ich würde es ganz grob so machen, die eingabe des benutzers zu hashen und diesen wert mit dem gespeicherten hash zu vergleichen...

im idealfall sollte ja der verifizierende das eigentliche geheimnis nicht kennen.

aber ist ja im grunde auch egal, ich kann auch mit den klartextpasswörtern leben... : )[/quote]

[Roger Wilco]

hab mich zwar jetzt nich näher mit dem protokoll befasst, aber ich würde es ganz grob so machen, die eingabe des benutzers zu hashen und diesen wert mit dem gespeicherten hash zu vergleichen...

Das steht ja auch so im RFC, aber leider habe ich bisher keinen MTA gefunden, der das unterstützt. Oder ich bin einfach zu plöht...

Wenn dich die Klartext-Passwörter in der DB stören, kannst du auf die Authentifizierungsmechanismen, die darauf angewiesen sind, einfach nicht nutzen. Natürlich nur, wenn die Verbindung im Gegenzug mit TLS oder SSL verschlüsselt wurde. ;)