Postfix mit mySQL und md5 Passwörtern

[microhome]

Hallo liebe Community,
ich habe meinen Server nach dem Tutorial von workaround.org aufgesetzt (http://workaround.org/articles/ispmail- ... x.shtml.de). Funktioniert auch alles einwandfrei, doch nun möchte ich die Passwörter der User noch im MD5 Format in der Datenbank speichern. Was muss ich dazu ändern? Der Server muss ja bei der Authorisierung lediglich das gesendete Passwort in MD5 umwandeln und mit dem String aus der DB vergleichen. Wie kann ich postfix das sagen?

Vielen lieben Dank für eure Hilfe.


Eine gute Nacht wünscht
m!crohome

[atair]

würde mich auch intressieren... hab auch einen postfix laufen der clearPWs braucht :(

[microhome]

Hi,
das stellst du in der /etc/courier/authmysqlrc ein. Dort musst du MYSQL_CLEAR_PWFIELD auskommentieren und stattdessen MYSQL_CRYPT_PWFIELD benutzen. Verschlüsseln musst du das ganze dann in der DB via crypt-Funktion.

Das ist dann zwar kein MD5, aber zumindest stehen die Einträge nicht mehr clear in der Datenbank.


Viel Spaß beim Ausprobieren,
m!cro

[atair]

Hi,
das stellst du in der /etc/courier/authmysqlrc ein. Dort musst du MYSQL_CLEAR_PWFIELD auskommentieren und stattdessen MYSQL_CRYPT_PWFIELD benutzen. Verschlüsseln musst du das ganze dann in der DB via crypt-Funktion.

Das ist dann zwar kein MD5, aber zumindest stehen die Einträge nicht mehr clear in der Datenbank.


Viel Spaß beim Ausprobieren,
m!cro

das bezieht sich ja nur auf courier... ich habe als SMTP postfix, der braucht das ja auch... funzt das dort genau so?

[elch_mg]

IIRC ist, wenn die Passwörter verschlüsselt gespeichert werden, keine verschlüsselte Passwort-Übertragung ala CRAM-MD5 mehr möglich.
Abhilfe: SSL/TLS verwenden - Was zumindest meiner Meinung nach sowieso sinnvoller ist.

[atair]

IIRC ist, wenn die Passwörter verschlüsselt gespeichert werden, keine verschlüsselte Passwort-Übertragung ala CRAM-MD5 mehr möglich.
Abhilfe: SSL/TLS verwenden - Was zumindest meiner Meinung nach sowieso sinnvoller ist.

also du meinst das die PWs im Klartext auf dem server stehen sollten? oder das die PWs im klartext übertragen werden sollten, aber in einer SSL/TLS verbindung sicher übertragen werden?

[Roger Wilco]

also du meinst das die PWs im Klartext auf dem server stehen sollten? oder das die PWs im klartext übertragen werden sollten, aber in einer SSL/TLS verbindung sicher übertragen werden?

Deine Entscheidung.

Gehashte Passwörter in der Datenbank -> nur Plaintext Authentifizierungsmechanismen möglich.
Klartext Passwörter in der Datenbank -> C/R Authentifizierungsmechanismen (CRAM-MD5, DIGEST-MD5) möglich.

[microhome]

Jo also ich hab das bei courier so eingestellt. Das Passwort wird verschlüsselt in der DB gespeichert und soweit ich weiß kannst du das auch verschlüsselt über SSL übertragen.


Grüße
m!cro

[Roger Wilco]

Das Passwort wird verschlüsselt in der DB gespeichert und soweit ich weiß kannst du das auch verschlüsselt über SSL übertragen.

Es gibt einen Unterschied zwischen der Verschlüsselung der Verbindung (SSL/TLS) und der Übertragung eines Passworts mit einem C/R-Verfahren (CRAM-MD5, DIGEST-MD5). Beides funktioniert komplett unabhängig voneinander.