[Sysadmins] LDAP + пароли для пользователей в blowfish

[Sysadmins] LDAP + пароли для пользователей в blowfish

[Andrew V. Stepanov]

Привет.
Я хочу чтобы системные пользователи хранились в LDAP.
Я это сделал.
Только сейчас у меня в /etc/pam_ldap.conf пароли на проверку в LDAP
сервер отправляются в открытом виде:
pam_password clear

Я могу хранить хеш пароля в LDAP. Для этого я могу создать его с помощью:
/usr/sbin/slappasswd -h '{CRYPT}'
Но на вход LDAP всеравно хочет получить clear пароль. Т.е. чтобы в
/etc/pam_ldap.conf было `pam_password clear'

С такой конфигурацией пользователи успешно авторизируются в системе.

В etc/pam_ldap.conf есть опция:
pam_password crypt
Как я понял тогда pam_ldap будет отправлять на проверку в LDAP сервер
хеш пароля.

Только у меня вопрос, как занести в LDAP пароль пользователя?

stanv@hull: ~/ > bfhash 123
$2a$08$hb2E6SbbhRS8AfNiIpH2wujDP7Q5tuHHnBHVVeLx0GKAHaQG7BXbW%

stanv@hull: ~/ > bfhash 123
$2a$08$0zFsBZbRI0MxjOJZkUzH6uNdeYbQu4uKz9earJP64P2rjny4PyNTe%

Как видно хеш для одного пароля генерируется каждый раз другой.

В каком виде занести пароль в поле userPassword чтобы pam_ldap можно
было включить опцию `pam_password crypt' ????

СПАСИБО!!!

Re: [Sysadmins] LDAP + пароли для пользователей в blowfish

[Vitaly Kuznetsov]

"Andrew V. Stepanov" <stanv@altlinux.org> writes:

> В каком виде занести пароль в поле userPassword чтобы pam_ldap можно
> было включить опцию `pam_password crypt' ????

Вот пример на перле для SHA:

use Digest::SHA1;
use MIME::Base64;
$ctx = Digest::SHA1->new;
$ctx->add($theGoodWord);
$hashedSHAPasswd = '{SHA}' . encode_base64($ctx->digest,'');
print 'userPassword: ' .  $hashedSHAPasswd . "\n";

-- 
Vitaly Kuznetsov, ALT Linux

Re: [Sysadmins] LDAP + пароли для пользователей в blowfish

[Andrew V. Stepanov]

Круто, спасибо!
Получилось.
Т.е. можно и так:
# slappasswd -h '{SHA}'
New password:
Re-enter new password:
{SHA}QL0AFWMIX8NRZTKeof9cXsvbvu8=

Я все думал что `pam_password crypt' - это привязка к системному
вызову crypt(), т.е. blowfish.
Оказывается это SHA.


2010/12/9 Vitaly Kuznetsov <vitty@altlinux.ru>:
> "Andrew V. Stepanov" <stanv@altlinux.org> writes:
>
>> В каком виде занести пароль в поле userPassword чтобы pam_ldap можно
>> было включить опцию `pam_password crypt' ????
>
> Вот пример на перле для SHA:
>
> use Digest::SHA1;
> use MIME::Base64;
> $ctx = Digest::SHA1->new;
> $ctx->add($theGoodWord);
> $hashedSHAPasswd = '{SHA}' . encode_base64($ctx->digest,'');
> print 'userPassword: ' .  $hashedSHAPasswd . "\n";
>
> --
> Vitaly Kuznetsov, ALT Linux
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins
>

Re: [Sysadmins] LDAP + пароли для пользователей в blowfish

[Sergey Vlasov]

On Thu, 9 Dec 2010 11:24:43 +0300 Andrew V. Stepanov wrote:

> Я хочу чтобы системные пользователи хранились в LDAP.
> Я это сделал.
> Только сейчас у меня в /etc/pam_ldap.conf пароли на проверку в LDAP
> сервер отправляются в открытом виде:
> pam_password clear

Нужно внимательнее читать документацию pam_ldap - параметр
pam_password влияет на способ _изменения_ пароля, а не на проверку его
при аутентификации пользователя.  Чтобы при аутентификации пароль не
передавался в открытом виде, необходимо использовать либо SASL (но
методы CRAM-MD5 и DIGEST-MD5 требуют хранения пароля в открытом виде
на сервере - т.е., в базе LDAP), либо TLS.

> В каком виде занести пароль в поле userPassword чтобы pam_ldap можно
> было включить опцию `pam_password crypt' ????

"pam_password crypt" вообще использовать не стоит - это именно древний
DES-based crypt().  На клиентской стороне pam_ldap поддерживает только
алгоритмы хеширования паролей DES и MD5; всё остальное нужно
настраивать на стороне сервера, передавая ему пароль в открытом виде
(естественно, в этом случае для защиты требуется TLS).

Re: [Sysadmins] LDAP + пароли для пользователей в blowfish

[Andrew V. Stepanov]

У меня на LDAP сервере поле userPassword выставлено в :
{SHA}QL0AFWMIX8NRZTKeof9cXsvbvu8=
В /etc/pam_ldap.conf включена опция  "pam_password crypt".

При такой конфигурации пароль всеравно передается в открытом виде?

2010/12/9 Sergey Vlasov <vsu@altlinux.ru>:
> On Thu, 9 Dec 2010 11:24:43 +0300 Andrew V. Stepanov wrote:
>
>> Я хочу чтобы системные пользователи хранились в LDAP.
>> Я это сделал.
>> Только сейчас у меня в /etc/pam_ldap.conf пароли на проверку в LDAP
>> сервер отправляются в открытом виде:
>> pam_password clear
>
> Нужно внимательнее читать документацию pam_ldap - параметр
> pam_password влияет на способ _изменения_ пароля, а не на проверку его
> при аутентификации пользователя.  Чтобы при аутентификации пароль не
> передавался в открытом виде, необходимо использовать либо SASL (но
> методы CRAM-MD5 и DIGEST-MD5 требуют хранения пароля в открытом виде
> на сервере - т.е., в базе LDAP), либо TLS.
>
>> В каком виде занести пароль в поле userPassword чтобы pam_ldap можно
>> было включить опцию `pam_password crypt' ????
>
> "pam_password crypt" вообще использовать не стоит - это именно древний
> DES-based crypt().  На клиентской стороне pam_ldap поддерживает только
> алгоритмы хеширования паролей DES и MD5; всё остальное нужно
> настраивать на стороне сервера, передавая ему пароль в открытом виде
> (естественно, в этом случае для защиты требуется TLS).
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins
>

Re: [Sysadmins] LDAP + пароли для пользователей в blowfish

[Sergey Vlasov]

On Thu, 9 Dec 2010 12:55:22 +0300 Andrew V. Stepanov wrote:

> У меня на LDAP сервере поле userPassword выставлено в :
> {SHA}QL0AFWMIX8NRZTKeof9cXsvbvu8=
> В /etc/pam_ldap.conf включена опция  "pam_password crypt".
> 
> При такой конфигурации пароль всеравно передается в открытом виде?

Если в /etc/pam_ldap.conf написано "uri ldap://..." - именно в
открытом виде.  Нужно настраивать TLS, вписывать uri ldaps://...,
pam_password exop (должно работать с openldap), а тип хеша выбирать в
настройках openldap (password-hash, password-crypt-salt-format).