¿Por qué no usar los mecanismos de autenticación md5 para IMAP a través de TLS?

Question

¿Por qué no usar los mecanismos de autenticación md5 para IMAP a través de TLS?

#1 de Steffen Ullrich (1 votos)

-1

Estoy usando Dovecot para las conexiones IMAP.

He leído muchos tutoriales sobre cómo configurar Dovecot, y muchos de ellos dicen que solo permiten:
auth_mechanisms = plain login

¿Por qué no debería permitir también la autenticación * -md5? Como así:
auth_mechanisms = plain login digest-md5 cram-md5

Sé que el servidor tiene que almacenar la contraseña sin cifrar para admitir los mecanismos de autenticación * -md5.
¿Pero eso disminuye la seguridad de alguna manera? Me refiero a que todos los que tienen acceso al servidor pueden leer la contraseña de todos modos:
Ya sea leyendo directamente la contraseña sin cifrar (simple) del disco si uso la autenticación * -md5, o esperando que mi cliente de correo electrónico se conecte a mi servidor y luego extraiga la contraseña simple que envía si uso plain o login auth.

Entonces, ¿cuál es el problema de no usar autenticación md5?

EDITAR:
Seguro que mi servidor siempre usa sesiones TLS / SSL IMAP.

passwords hash tls imap

pregunta Ben Richard 05.12.2014 - 17:53

fuente

1 respuesta

Lea otras preguntas en las etiquetas passwords hash tls imap

Algoritmo basado en HMAC para compartir públicamente mensajes autenticados TPMs disponibles en dispositivos móviles con acceso a la aplicación [cerrado]

score 1 · Answer 1

Técnicamente, no hay razón para no usar Digest MD5 con TLS, pero no agrega seguridad adicional para la contraseña dentro de la conexión entre el cliente y el servidor. Por lo tanto, debe comprobar si el uso de Digest MD5 puede disminuir la seguridad del resto del sistema.

A menudo desea integrar a los usuarios de IMAP con los usuarios del sistema, es decir, cualquier usuario del sistema puede acceder a su cuenta de IMAP con la misma contraseña utilizada para iniciar sesión o para enviar correo (es decir, SMTP). Como las contraseñas generalmente se almacenan en forma de hash en el sistema, deberá tener un almacenamiento adicional para la contraseña de texto sin formato (o HA1 ) solo para admitir la autorización de Digest MD5 y mantener sincronizados ambos almacenes de contraseñas. Esto no solo es una molestia, sino que también degradaría la seguridad del sistema.

Si no utiliza las cuentas del sistema para IMAP, la situación podría ser diferente. En la mayoría de los casos, es probable que sea aún más seguro almacenar las contraseñas con hash, ya que podría ser más fácil robar el archivo de contraseña de texto simple que secuestrar o reemplazar el servidor IMAP. Pero, si tiene una autenticación remota que admita Digest MD5 (como con un servidor Radius no protegido por TLS), es preferible utilizar Digest MD5.