[sisyphus] большие проблемы с courier-authdaemon для imapd

[sisyphus] большие проблемы с courier-authdaemon для imapd

[kopilo4ka]

Hi all

Имеем:
courier-authlib-0:0.58-alt2 installed
courier-authlib-0:0.56-alt1 removed

Заметил что в конфиге теперь демон стартует от пользователя courier.
Оставил варианты авторизации: authmodulelist="authpam".
Пробуем, не авторизует:

$ telnet bone 143
* OK [CAPABILITY IMAP4rev1...
. login henker pass
. NO Login failed.
. logout
* BYE Courier-IMAP server shutting down

Так же кое-что сменилось в courier-imap/imapd.
Пробовал добавить
IMAP_CAPABILITY="$IMAP_CAPABILITY AUTH=PLAIN"
эффекта не дало.
Почитал courier-authlib/README-ALT.koi8-r, интересно, но не помогло.
PS: "подробности см. в man 7 authlib", а нету такого.
Узнали новую команду, пробуем:

# authtest henker
Authenticated: henker  (system username: henker)
Home Directory: /home/henker
Maildir: (none)
Quota: (none)
Encrypted Password: x
Cleartext Password: (none)
Options: (none)

Появляются мысли про права, пробовали "chmod 755 ~henker" и т.д., все тоже 
самое. Меняем от кого будет запускаться authdaemon на рута, и что-то 
поменялось.

# authtest henker
Authenticated: henker  (system username: henker)
Home Directory: /home/henker
Maildir: (none)
Quota: (none)
Encrypted Password: $2a$08$h2mqOd......
Cleartext Password: (none)
Options: (none)

И на imap уже нормально заходит. Однако почему authtest пишет что нету 
Maildir, а она есть? Тоже проблема с доступом? Почему тогда pam не сработал?
С логами что-то смешное, написано в конфиге:
LOGGEROPTS="-name=courier-authdaemon -facility=authpriv", получаем:

bone -facility=authpriv: modules="authpam", daemons=5
bone -facility=authpriv: Installing libauthpam
bone -facility=authpriv: Installation complete: authpam

Re: [sisyphus] большие проблемы с courier-authdaemon для imapd

[Andrei Bulava]

kopilo4ka@gmail.com wrote:
> Hi all
> 
> Имеем:
> courier-authlib-0:0.58-alt2 installed
> courier-authlib-0:0.56-alt1 removed
> 
> Заметил что в конфиге теперь демон стартует от пользователя courier.
> Оставил варианты авторизации: authmodulelist="authpam".

Тогда надо было или а) сразу запускать authdaemon'а от root - не очень
хорошо по безопасности; или б) модифицировать пользователя courier так,
чтобы он принадлежал в том числе к группе auth, - уже лучше, чем вариант а).

Почему? Ответ - в правах на файлы /etc/tcb/<username>/shadow.

> самое. Меняем от кого будет запускаться authdaemon на рута, и что-то 
> поменялось.
> 
> # authtest henker
> Authenticated: henker  (system username: henker)
> Home Directory: /home/henker
> Maildir: (none)
> Quota: (none)
> Encrypted Password: $2a$08$h2mqOd......
> Cleartext Password: (none)
> Options: (none)
> 
> И на imap уже нормально заходит.

См. выше.

> Однако почему authtest пишет что нету 
> Maildir, а она есть? Тоже проблема с доступом?

Похоже, что да.

> Почему тогда pam не сработал?

Потому что авторизацией занимался authdaemon, запущенный от root'а, а
доступом к Maildir - какой-то другой процесс из комплекта courier,
запущенный с правами, например, пользователя courier?

-- 
// AB1002-UANIC

Re: [sisyphus] большие проблемы с courier-authdaemon для imapd

[kopilo4ka]

Дальше веселее. Демон все еще работает от рута:

$ id
uid=500(henker) gid=500(henker) группы=49(xgrp),50(ftp),80(cdwriter),500
(henker)
$ /usr/sbin/authtest test
Authenticated: test  (system username: test)
Home Directory: /home/test
Maildir: (none)
Quota: (none)
Encrypted Password: $2a$08$2qWG.........
Cleartext Password: (none)
Options: (none)

По strace видно только:
connect(3, {sa_family=AF_FILE, path="/var/lib/courier-authlib/socket"}

Повесьте что-то, я сформулировать не могу.

Re: [sisyphus] большие проблемы с courier-authdaemon для imapd

[Dmitry Lebkov]

kopilo4ka@gmail.com wrote:
> Дальше веселее. Демон все еще работает от рута:
> 
> $ id
> uid=500(henker) gid=500(henker) группы=49(xgrp),50(ftp),80(cdwriter),500
> (henker)
> $ /usr/sbin/authtest test
> Authenticated: test  (system username: test)
> Home Directory: /home/test
> Maildir: (none)
> Quota: (none)
> Encrypted Password: $2a$08$2qWG.........
> Cleartext Password: (none)
> Options: (none)
> 
> По strace видно только:
> connect(3, {sa_family=AF_FILE, path="/var/lib/courier-authlib/socket"}

Надо будет запатчить на предмет прав у создаваемого сокета. Не забыть
бы в следующей сборке это сделать ...

-- 
WBR, Dmitry Lebkov

Re: [sisyphus] большие проблемы с courier-authdaemon для imapd

[Dmitry Lebkov]

kopilo4ka@gmail.com wrote:

[skip]

> # authtest henker
> Authenticated: henker  (system username: henker)
> Home Directory: /home/henker
> Maildir: (none)
> Quota: (none)
> Encrypted Password: $2a$08$h2mqOd......
> Cleartext Password: (none)
> Options: (none)
> 
> И на imap уже нормально заходит. Однако почему authtest пишет что нету 
> Maildir, а она есть? Тоже проблема с доступом? Почему тогда pam не сработал?

Потому, что через PAM невозможно получить информацию о Maildir.

> С логами что-то смешное, написано в конфиге:
> LOGGEROPTS="-name=courier-authdaemon -facility=authpriv", получаем:
> 
> bone -facility=authpriv: modules="authpam", daemons=5
> bone -facility=authpriv: Installing libauthpam
> bone -facility=authpriv: Installation complete: authpam

Странно. А после обновления никаких "кусков" предыдущих пакетов courier-*
в системе не осталось?

У себя на почтовике я такого поведения, с теми же опциями, не наблюдаю ...

Ну а по большому счету, если к почте предполагается ходить через один
из почтовых протоколов - не используйте PAM для авторизации. Лучше смотрите
в сторону схемы с виртуальными почтовыми ящиками. Оно получается гибче и
безопаснее.

-- 
WBR, Dmitry Lebkov