Type de cryptage utilisé
Par défaut dans OpenLDAP le mot de passe utilisateur (attribut usepassword) est stocké sans cryptage.
Si on modifie le mot de passe via un fichier LDIF, on aura donc le mot de passe en clair dans l'annuaire, ce qui n'est pas sécurisé.
On peut également appliquer un algorithme de cryptage en amont (dans l'application cliente) et le transmettre à OpenLDA, qui va le stocker tel quel.
Il est possible de déclarer, via l'attribut olcPasswordHash, un ou plusieurs types de hash acceptables, utilisés dans la génération des mots de passe stockés dans l'attribut userPassword. Le défaut est {SSHA} (Salted SHA1). (cf . http://linux.die.net/man/5/slapd-config).
Modification de la configuration
La modification de l'attribut s'effectue dans la "frontend" database, et héritée par les autres databases, via un fichier LDIF :
dn: olcDatabase={-1}frontend,cn=config
changetype: modify
add: olcPasswordHash
olcPasswordHash: {SHA} Note : ceci ne veut pas dire que le mot de passe sera stocké crypté dans l'annuaire. Cela indique uniquement à OpenLDAP qu'il peut accepter tel ou tel cryptage en provenance d'un client.
Exemple de modification via un LDIF
On modifie le mot de passe de l'utilisateur via un fichier LDIF :
dn: uid=USER123,ou=users,dc=example,dc=com changetype: modify replace: userpassword userpassword: UnMotDePa55e
Si on recherche via la commande ldapsearch l'entrée de l'annuaire, elle va renvoyer le mot de passe (codé en base64), que l'on peut décoder via la commandebase64 -d :
dn: uid=USER123,ou=users,dc=example,dc=com objectClass: inetOrgPerson uid: USER123 cn: USER123 User displayName: USER123 User employeeNumber: USER123 givenName: Test userPassword:: VW5Nb3REZVBhNTVl # search result # numResponses: 2 # numEntries: 1
On décode le mot de passe donné en base64 :
# echo VW5Nb3REZVBhNTVl | base64 -d UnMotDePa55e #
Modification via un LDAPbrowser
Si on modifie l'entrée via LDAPBrowser (mot de passe = Password) et qu'on fait la même recherche ldapsearch, le résultat est quelque peu différent :
dn: uid=USER123,ou=users,dc=example,dc=com objectClass: inetOrgPerson uid: USER123 cn: USER123 User displayName: USER123 User employeeNumber: USER123 givenName: Test userPassword:: e1NIQX1pK1BKUTdGZ24vKy94UnF0Wm0wS0JLMzRQSjA9 # search result # numResponses: 2 # numEntries: 1
Si on essaye de décoder le mot de passe depuis le format base64, on obtient le contenu de l'attribut userPassword
# echo e1NIQX1pK1BKUTdGZ24vKy94UnF0Wm0wS0JLMzRQSjA9 | base64 -d
{SHA}i+PJQ7Fgn/+/xRqtZm0KBK34PJ0=
#Le mot de passe a été encodé par l'application cliente (LDAPbrowser) et stocké en SHA dans l'annuaire.
Il est cependant possible d'avoir un cryptage systématique, en utilisant l'overplayPasswordPolicy
Overlay Password Policy
Cet overlay disponible pour OpenLDAP permet de gérer les politiques de mots de passe pour une database donnée.
On peut donc avoir une politique de mot de passe par défaut différente par database (root Suffix), sachant qu'on peut également avoir une politique de mot de passe liée à un objet de l'annuaire.
Ajout de l'overlay
L'ajout de cet overlay s'effectue au niveau de la configuration globale. La modification peut s'effectuer dynamiquement via un fichier LDIF :
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: ppolicyConfiguration au niveau de la database
La configuration de l'overlay se fait au niveau de chaque database. Dans notre exemple, elle porte le numéro 3 (valider par rapport à votre installation dans /etc/openldap/slapd.d/cn=config).
dn: olcOverlay=ppolicy,olcDatabase={3}bdb,cn=config
objectClass: olcConfig
objectClass: olcOverlayConfig
objectClass: olcPpolicyConfig
olcOverlay: ppolicy
olcPPolicyDefault: cn=default,ou=policies,dc=example,dc=com
olcPPolicyUseLockout: TRUE
olcPPolicyHashCleartext: TRUE Les attributs intéressants sont :
- olcPPolicyDefault : définit la politiques de mot de passe par défaut qui sera utilisée
- olcPPolicyUseLockout : définit si on bloque le compte en cas de défaut de mot de passe
- olcPPolicyHashCleartext : définit si les mots de passe en clair doivent être cryptés.
C'est ce dernier paramètre qui permet de crypter automatiquement les mots de passe passés en clair, par exemple via un fichier LDIF.
Définition d'une politique de mots de passe
La définition d'une politique de mots de passe s'effectue également par un fichier LDIF. On a une seule politique par défaut mais on peut utiliser une politique sur un objet.
Exemple de policy par défaut
dn: cn=default,ou=policies,dc=example,dc=com objectClass: top objectClass: device objectClass: pwdPolicy cn: default pwdAttribute: userPassword pwdMaxAge: 7776000 pwdMinAge: 86400 pwdExpireWarning: 864000 pwdInHistory: 4 pwdMinLength: 8 pwdMaxFailure: 5 pwdLockout: TRUE pwdLockoutDuration: 900 pwdGraceAuthNLimit: 5 pwdFailureCountInterval: 0 pwdMustChange: TRUE pwdAllowUserChange: TRUE pwdSafeModify: FALSE pwdCheckQuality: 1
La signification des attributs est :
- pwdMaxAge : age maximal du mot de passe en secondes
- pwdMinAge : age minimal du mot de passe en secondes
- pwdExpireWarning : durée de prévention du futur changement de mot de passe
- pwdExpireWarning : durée de prévention du futur changement de mot de passe
- pwdInHistory: nombre de mots de passe dans l'historique
- pwdMinLength: longueur minimale du mot de passe
- pwdMaxFailure: nombre d'échecs de saisie du mot de passe maximal (avant blocage)
- pwdLockout: indique si on bloque le compte au bout de X échecs
- pwdLockoutDuration: durée du blocage du compte (en secondes)
- pwdGraceAuthNLimit: période de grâce suite à l'expiration du mot de passe
- pwdMustChange: indique si l'utilisateur doit changer son mot de passe
- pwdAllowUserChange: indique si l'utilisateur peut changer son mot de passe
- pwdSafeModify: indique si il faut envoyer l'ancien mot de passe avec le nouveau pour modification
- pwdCheckQuality: 1 = indique si OpenLDAP renvoie une erreur si le mot de passe n'est pas conforme
Exemple de politique pour des comptes de service
Dans le cas de comptes de services, il est plus prudent de ne pas avoir d'expiration de compte.
dn: cn=servicesaccounts, ou=policies, dc=example,dc=com cn: servicesaccounts objectClass: top objectClass: device objectClass: pwdPolicy pwdAllowUserChange: TRUE pwdAttribute: userPassword pwdExpireWarning: 0 pwdFailureCountInterval: 0 pwdGraceAuthNLimit: 5 pwdLockout: FALSE pwdLockoutDuration: 0 pwdInHistory: 0 pwdMaxAge: 0 pwdMaxFailure: 0 pwdMinAge: 0 pwdMinLength: 15 pwdMustChange: FALSE pwdSafeModify: FALSE
Les principales différences portent sur les durées (pas d'expiration), sur le blocage (pas de blocage). Par contre la longueur du mot de passe est passée à 15 caractères.
Affectation d'une politique de mot de passe à un compte
On peut affecter une politique de mots de passe spécifique à un compte via un LDIF :
dn: uid=USER123,ou=users,dc=example,dc=com changetype: modify replace: pwdPolicySubEntry pwdPolicySubEntry: cn=servicesaccounts, ou=policies, dc=example,dc=com