RFC 3062 и метод хеширования паролей

LDAP
Все мы знаем или, возможно даже, предстоит нам ещё узнать о том, что в LDAP предусмотрена такая атомарная операция как «LDAP Modify Password». Описана она в RFC3062, реализована во всех известных мне серверах каталогов — разумеется, и в OpenLDAP тоже. Пароли хранятся в атрибуте userPassword, а простейшим типом объекта, включающим данный атрибут, является… ну конечно же simpleSecurityObject (кстати, пусть эта кажущаяся простота не будет для вас обманчивой, ибо этот objectClass AUXILIARY).
Ну да суть не в этом, а в том, что пароли в атрибуте userPassword принято хранить шифрованном виде и при запросе выполнения операции LDAP Modify Password серверу нужно бы выбрать какой-то метод… криптования, хеширования… ну, в общем, превращения пароля во что-то неудобочитаемое и не подлежащее восстановлению. Каким же образом можно сказать, например, серверу OpenLDAP использовать… положим, MD5 вместо SSHA, используемого по умолчанию? Для нужды сией существует атрибут с говорящим названием olcPasswordHash, значение которого должно быть представлено в формате {МЕТОД_ШИФРОВАНИЯ}, т.е. применительно к упомянутому выше гипотетическому случаю наличия потребности иметь все пароли захешированными в MD5, Вам нужно будет изменить глобальную конфигурацию cn=config (ниже)следующим образом:
dn: cn=config
changeType: modify
add: olcPasswordHash
olcPasswordHash: {MD5}

0 комментариев

Только зарегистрированные и авторизованные пользователи могут оставлять комментарии.