Perché non utilizzare i meccanismi di autorizzazione md5 per IMAP su TLS?

Question

Perché non utilizzare i meccanismi di autorizzazione md5 per IMAP su TLS?

#1 da (1 voti)

-1

Sto utilizzando Dovecot per le connessioni IMAP.

Ho letto un sacco di tutorial su come impostare Dovecot e molti di loro hanno detto di consentire solo:
auth_mechanisms = plain login

Perché non dovrei permettere anche l'autenticazione * -md5? Mi piace così:
auth_mechanisms = plain login digest-md5 cram-md5

So che il server deve memorizzare la password in forma non criptata per supportare i meccanismi di autenticazione * -md5.
Ma questo diminuisce la sicurezza in alcun modo? Voglio dire, chiunque abbia accesso al server può comunque leggere la password:
O leggendo direttamente la password non crittografata (semplice) dal disco se uso l'autenticazione * -md5, o aspettando che il mio client di posta elettronica si colleghi al mio server e quindi estraendo la password semplice che invia se uso plain o login auth.

Quindi qual è il problema di non usare l'autenticazione md5?

EDIT:
Sicuramente il mio server usa sempre sessioni IMAP TLS / SSL.

passwords imap hash tls

posta Ben Richard 05.12.2014 - 17:53

fonte

1 risposta

Leggi altre domande sui tag passwords imap hash tls

Algoritmo basato su HMAC per condividere pubblicamente messaggi autenticati recupera i dati del database con il server delle applicazioni? [chiuso]

score 1 · Answer 1

Tecnicamente non vi è alcun motivo per non utilizzare Digest MD5 con TLS, ma non aggiunge ulteriore sicurezza per la password all'interno della connessione tra client e server. Quindi è necessario verificare se l'utilizzo di Digest MD5 potrebbe ridurre la sicurezza del resto del sistema.

Spesso si desidera integrare gli utenti IMAP con gli utenti del sistema, ovvero qualsiasi utente del sistema può accedere al proprio account IMAP con la stessa password utilizzata per l'accesso o per l'invio di posta (ad esempio SMTP). Poiché le password sono solitamente memorizzate in formato hash sul sistema, è necessario disporre di una memoria aggiuntiva per la password di testo semplice (o HA1 ) solo per supportare l'autorizzazione Digest MD5 e mantenere sincronizzati entrambi gli archivi password. Questo non è solo un problema, ma potrebbe anche peggiorare la sicurezza del sistema.

Se non si utilizzano account di sistema per IMAP, la situazione potrebbe essere diversa. Nella maggior parte dei casi è probabilmente ancora più sicuro archiviare solo l'hash delle password, perché potrebbe essere più semplice rubare il file di password in testo semplice piuttosto che dirottare o sostituire il server IMAP. Tuttavia, se si dispone dell'autenticazione remota che supporta Digest MD5 (come con un server Radius non protetto da TLS), potrebbe essere preferibile utilizzare Digest MD5.