Lösung für MD5 Postfix Problem: deaktivieren MD5 ?! Falsch?

[qhp]

Hallo,

wie hier schon von anderen beschrieben, hatte ich auch Probleme mit dem neuen Server und Postfix.
Da mein Client (Entourage) nicht mit MD5 zurecht kam, habe ich dies einfach deaktiviert:

localhost:/usr/lib/sasl # rm libcrammd5.so*
localhost:/usr/lib/sasl # rm libdigestmd5.so*
localhost:/usr/lib/sasl # /etc/init.d/postfix restart

(PS: Backup hab ich natürlich von den Dateien *g*)

Vorher ergab ein
telnet localhost 25
EHLO localhost
250-AUTH PLAIN LOGIN DIGEST-MD5 CRAM-MD5
250-AUTH=PLAIN LOGIN DIGEST-MD5 CRAM-MD5

Nun:
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN

Da hier ja nix von anonymous steht, sollte der Server halbwegs sicher sein. Klar, md5 wären noch besser, aber sollte doch reichen?


Nun darf ich mit meinem Client versenden, sofern "SMTP-Server erfordert Authentifizierung" angeklickt habe. Ohne geht es nicht, was ja auch richtig ist.

und was ich gerade noch getestet habe: ssl geht auch.

Seht Ihr eine Gefahr in meiner Lösung?
Ich frage mich nämlich, wenn dies die Lösung für ein schon lange und oft behandeltes Problem ist, warum ist da noch keiner drauf gekommen?
DAS macht mich stutzig. HILFE ich habe ne Lösung und kanns nicht glauben
,-) da ist doch sicher ein Hacken.

gruss qHp

[captaincrunch]

localhost:/usr/lib/sasl # rm libcrammd5.so*
localhost:/usr/lib/sasl # rm libdigestmd5.so*
localhost:/usr/lib/sasl # /etc/init.d/postfix restart

(PS: Backup hab ich natürlich von den Dateien *g*)

In dem Fall hätte es wohl auch gereicht, wenn du die Files per mv einfach woanders hingeschoben hättest ...

[flo]

Backup hat er doch ... cp und rm ist doch fast mv :-)

[mark]

Hallo,

Aber um dich wieder auf den Boden der Tatsachen runterzuholen, qHp, PlainPassörter + TLS verwenden einige Leute schon seit Jahren und ist wahrlich keine neue Lösung.

Wer Confixx verwendet, kann bloss kein md5 verwenden, wenn die passwörter in der passwd/shadow gespeichert werden. Dazu müssten die in der sasldb stehen, was von Confixx bekanntlich nicht unterstützt wird.

Ach ja: Netscape 4.x hat ein ähnliches Problem. Sobald ein AUTH - String im Banner des MTA auftaucht, muss man bei Netscape 4.x benutzername und kennwort angeben. Selbst, wenn man über eine IP kommt, die in mynetworks drin steht :(...
Workarround: Für Netscape User noch einen weiteren smtpd auf einem weiteren port mit "deaktivierten" auth starten.

Dafür in der master.cf:
250 inet n - n - - smtpd -o smtpd_sasl_auth_enable=no

Dann können Netscape 4.x user mit dem Server eintrag:
server:250
auch versenden...

Gruß
Mark