Аутентификация OpenLDAP - PullRequest
Новая
       4

Аутентификация OpenLDAP

1 голос
/ 04 мая 2011

Есть ли способ определить ваше собственное шифрование / дешифрование, вместо того, чтобы иметь хранилище паролей в виде простого текста?Можете ли вы иметь свой собственный алгоритм и запускать его отдельно как часть процесса?Я новичок, и документация в Интернете, хотя подробно не указывает какие-либо конкретные способы сделать это.Это относится к OpenLDAP и текущему методу, используемому для аутентификации.

Ответы [ 3 ]

4 голосов
/ 01 августа 2011

Чтобы иметь возможность по умолчанию хешировать пароль для сервера, необходимо добавить наложение политики паролей и директиву.

Если вы используете онлайн-метод cn = config, добавьте вложенную подзаписьв ваш объект olcDatabase. 

dn: olcOverlay={0}ppolicy,olcDatabase={2}hdb,cn=config
objectClass: olcPPolicyConfig
olcOverlay: {0}ppolicy
olcPPolicyHashCleartext: TRUE

Метод Slapd.conf: 

database bdb
suffix "dc=example,dc=com"
...
# invokes password policies for this DIT only
overlay ppolicy
ppolicy_hash_cleartext

Затем, когда вы добавляете нового пользователя с атрибутом userpassword в виде обычного текста, он будет хранить хэшированный пароль.Я считаю, что по умолчанию это соленый sha1, который довольно безопасен.Вам также следует обратить внимание на ограничение доступа к атрибуту userpassword. 

olcAccess: to attrs=userPassword by self write by * auth
0 голосов
/ 20 декабря 2011

Вы никогда не должны хранить пароли в обратимом шифровании, если вы используете их для аутентификации!

Вы должны хранить пароли с помощью односторонней хэш-функции: MD5, SHA1, SHA256. Если вам абсолютно не нужно хранить его в каком-то старом, определенном формате, вы всегда должны солить его. Соленая SHA1 является хорошим стандартным OpenLDAP.

Проблема в том, что для правильной работы пароля необходимо использовать расширенную операцию LDAP, а не обычное обновление ldapmodify. Лучше всего использовать ppolicy, чтобы фактически установить пароль таким способом. Возможно, вы захотите проверить качество пароля и устареть, если вы его используете.

0 голосов
/ 05 мая 2011

Студия каталогов Apache может выполнить это за вас

Этот браузер ldap обнаруживает OID пароля пользователя и предоставляет интерфейс для хэширования пароля.

suchas: userPassword :: e01ENX1Lc25MZmNBclBBQ0Q2M0NKamxTYll3PT0 =

(это просто работает, потому что встроено) Прочитайте файл Openldap readme для получения дополнительной информации: Этот каталог содержит собственные плагины slapd для механизмов паролей, которые не активно поддерживаются проектом. В настоящее время это включает в себя Механизмы паролей Kerberos, Netscape MTA-MD5 и RADIUS. Апач Также включены механизмы APR1 MD5 и BSD / Paul Henning Kamp MD5.

Чтобы использовать плагин Kerberos, добавьте:

moduleload pw-kerberos.so

в ваш конфигурационный файл slapd.

Яда Яда Яда

...