🚀 go-pugleaf

vertigo napisał(a):
Witam,

> Znalazlem gdzies taka konfiguracje:

[ciach - konfiguracja LDAP + apache]

> Jak rozumiem LDAPBindName/LDAPBindPass powoduje ze do bazy ldapa zawsze  
> laczymy sie (bindujemy)
> z takimi danymi a dopiero potem w niej szukamy podanego usera/hasla (przez  
> uzytkownika)
> i decydujemy czy pozwolic czy nie na polaczenie.
> Dlaczego tak to rozwiazano ? Czy ten modul nie moglby sie laczyc z ldapem
> od razu z podanym przez uzytkownika user/pass i sprawdzac swoja nazwe  
> grupy i inne
> dane potrzebne do podjecia decyzji ?

Zazwyczaj najpierw trzeba odszukać DN użytkownika, jest potrzebne do
uwierzytelnienia w LDAP metodą "simple".

> Nie chce tworzyc dodatkowego cn=search bo jak rozumiem to duza luka  
> bezpieczenstwa ?

Anonimowe wyszukiwanie userów raczej jest większą "luką". Użytkownik
cn=search... powinien mieć prawa tylko do odczytu DN i paru wybranych
atrybutów (typu cn, uid, objectClass -- zależy po czym szukamy userów do
uwierzytelnienia).

W skrócie, zalecany sposób sprawdzania haseł w LDAPie (dalej "simple"):
1) bindujemy się na LDAPBindName/LDAPBindPass (opcjonalnie bindowanie
anonimowe, jeśli jest włączone i ma odpowiednie uprawnienia)
2) szukamy w ldapie DN usera o podanym uid, sprawdzamy czy istnieje
dokładnie jeden taki obiekt
pre-3) sprawdzamy czy hasło ma co najmniej jeden znak
3) próbujemy się bindować na wyszukane DN + podane hasło

Pozdrawiam,
Kupson
-- 
Great software without the knowledge to run it is pretty useless.
(Linux Gazette #1)