Postfix mit mySQL und md5 Passwörtern

Postfix, QMail, Sendmail, Dovecot, Cyrus, Courier, Anti-Spam
microhome
Posts: 120
Joined: 2004-04-04 21:24

Postfix mit mySQL und md5 Passwörtern

Post by microhome » 2006-11-05 23:43

Hallo liebe Community,
ich habe meinen Server nach dem Tutorial von workaround.org aufgesetzt (http://workaround.org/articles/ispmail- ... x.shtml.de). Funktioniert auch alles einwandfrei, doch nun möchte ich die Passwörter der User noch im MD5 Format in der Datenbank speichern. Was muss ich dazu ändern? Der Server muss ja bei der Authorisierung lediglich das gesendete Passwort in MD5 umwandeln und mit dem String aus der DB vergleichen. Wie kann ich postfix das sagen?

Vielen lieben Dank für eure Hilfe.


Eine gute Nacht wünscht
m!crohome

atair
Posts: 8
Joined: 2004-12-17 09:40
Location: Büchner

Re: Postfix mit mySQL und md5 Passwörtern

Post by atair » 2006-11-28 23:14

würde mich auch intressieren... hab auch einen postfix laufen der clearPWs braucht :(

microhome
Posts: 120
Joined: 2004-04-04 21:24

Re: Postfix mit mySQL und md5 Passwörtern

Post by microhome » 2006-11-29 13:59

Hi,
das stellst du in der /etc/courier/authmysqlrc ein. Dort musst du MYSQL_CLEAR_PWFIELD auskommentieren und stattdessen MYSQL_CRYPT_PWFIELD benutzen. Verschlüsseln musst du das ganze dann in der DB via crypt-Funktion.

Das ist dann zwar kein MD5, aber zumindest stehen die Einträge nicht mehr clear in der Datenbank.


Viel Spaß beim Ausprobieren,
m!cro

atair
Posts: 8
Joined: 2004-12-17 09:40
Location: Büchner

Re: Postfix mit mySQL und md5 Passwörtern

Post by atair » 2006-11-29 14:49

microhome wrote:Hi,
das stellst du in der /etc/courier/authmysqlrc ein. Dort musst du MYSQL_CLEAR_PWFIELD auskommentieren und stattdessen MYSQL_CRYPT_PWFIELD benutzen. Verschlüsseln musst du das ganze dann in der DB via crypt-Funktion.

Das ist dann zwar kein MD5, aber zumindest stehen die Einträge nicht mehr clear in der Datenbank.


Viel Spaß beim Ausprobieren,
m!cro
das bezieht sich ja nur auf courier... ich habe als SMTP postfix, der braucht das ja auch... funzt das dort genau so?

elch_mg
Posts: 302
Joined: 2006-01-23 19:14
Location: 41063

Re: Postfix mit mySQL und md5 Passwörtern

Post by elch_mg » 2006-11-29 15:00

IIRC ist, wenn die Passwörter verschlüsselt gespeichert werden, keine verschlüsselte Passwort-Übertragung ala CRAM-MD5 mehr möglich.
Abhilfe: SSL/TLS verwenden - Was zumindest meiner Meinung nach sowieso sinnvoller ist.

atair
Posts: 8
Joined: 2004-12-17 09:40
Location: Büchner

Re: Postfix mit mySQL und md5 Passwörtern

Post by atair » 2006-11-29 15:08

elch_mg wrote:IIRC ist, wenn die Passwörter verschlüsselt gespeichert werden, keine verschlüsselte Passwort-Übertragung ala CRAM-MD5 mehr möglich.
Abhilfe: SSL/TLS verwenden - Was zumindest meiner Meinung nach sowieso sinnvoller ist.
also du meinst das die PWs im Klartext auf dem server stehen sollten? oder das die PWs im klartext übertragen werden sollten, aber in einer SSL/TLS verbindung sicher übertragen werden?

Roger Wilco
Administrator
Administrator
Posts: 6001
Joined: 2004-05-23 12:53

Re: Postfix mit mySQL und md5 Passwörtern

Post by Roger Wilco » 2006-11-29 15:13

Atair wrote:also du meinst das die PWs im Klartext auf dem server stehen sollten? oder das die PWs im klartext übertragen werden sollten, aber in einer SSL/TLS verbindung sicher übertragen werden?
Deine Entscheidung.

Gehashte Passwörter in der Datenbank -> nur Plaintext Authentifizierungsmechanismen möglich.
Klartext Passwörter in der Datenbank -> C/R Authentifizierungsmechanismen (CRAM-MD5, DIGEST-MD5) möglich.

microhome
Posts: 120
Joined: 2004-04-04 21:24

Re: Postfix mit mySQL und md5 Passwörtern

Post by microhome » 2006-11-29 15:49

Jo also ich hab das bei courier so eingestellt. Das Passwort wird verschlüsselt in der DB gespeichert und soweit ich weiß kannst du das auch verschlüsselt über SSL übertragen.


Grüße
m!cro

Roger Wilco
Administrator
Administrator
Posts: 6001
Joined: 2004-05-23 12:53

Re: Postfix mit mySQL und md5 Passwörtern

Post by Roger Wilco » 2006-11-29 15:52

microhome wrote:Das Passwort wird verschlüsselt in der DB gespeichert und soweit ich weiß kannst du das auch verschlüsselt über SSL übertragen.
Es gibt einen Unterschied zwischen der Verschlüsselung der Verbindung (SSL/TLS) und der Übertragung eines Passworts mit einem C/R-Verfahren (CRAM-MD5, DIGEST-MD5). Beides funktioniert komplett unabhängig voneinander.