1
Vývoj / Re:Menší opravy v PHP - nezájem programátorů?
« kdy: 10. 03. 2016, 22:18:00 »
Před chvíli jsem zrovna tohle řešil v našem redakčáku s pomocí jQuery. Můžu se na to podívat, a pokud bude kód rozumný, tak to klidně vyřeším.
Zobrazit příspěvky
Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.
Stran: [1]
2
Server / Re:Hacknutý Dovecot SASL imap
« kdy: 10. 03. 2016, 20:06:32 »
No po cestě by ti ho nikdo něměl odchytnout (pokud pomineme man in the middle attack) ale v případě špatně nakonfigurovaného serveru někdo mohl právě vydolovat hesla ne z komunikace, ale přímo ze serveru.
Jestli máš hesla uložená v databázi tak změna z plaintextu na MD5 by měla být takřka triviální. Na debianu se podívej do /etc/dovecot/conf.d/* najdi kde máš konfiguraci k databázi a tam by mělo stačit změnit:
default_pass_scheme na to, které si vybereš z http://wiki.dovecot.org/Authentication/PasswordSchemes
Jestli máš hesla uložená v databázi tak změna z plaintextu na MD5 by měla být takřka triviální. Na debianu se podívej do /etc/dovecot/conf.d/* najdi kde máš konfiguraci k databázi a tam by mělo stačit změnit:
default_pass_scheme na to, které si vybereš z http://wiki.dovecot.org/Authentication/PasswordSchemes
3
Server / Re:Hacknutý Dovecot SASL imap
« kdy: 10. 03. 2016, 19:56:12 »Tady se jedná o způsob autentizace. Plaintext je normální, pokud jde přes bezpečný kanál (v tomhle případě - snad - TLS).
Plaintext mi tedy normální úplně nepříjde. Už jenom například z toho důvodu, že nechci aby root věděl jaké mám heslo.
4
Server / Re:Hacknutý Dovecot SASL imap
« kdy: 10. 03. 2016, 19:44:00 »
A nemáš nastavený ten mail server jako open replay? Anonymous TLS connection si myslím, že by němělo vůbec nastat při pokusů na připojení do mailserveru z venčí, pokud nemáš open relay.
Případně bych prověřil, zda na serveru není software, který přistupuje k mailserveru přes localhost, někdy bývá postfix nastavený tak, že při spojení z localhostu nevyžaduje autorizaci. Pak by stačilo umístit na mailserver záškodnický script, který bude rozesílat spam a nebude vyžadovat aurorizaci.
Tak jako tak, mít hesla v PLAINTEXTU je bezpečnostní riziko.
Případně bych prověřil, zda na serveru není software, který přistupuje k mailserveru přes localhost, někdy bývá postfix nastavený tak, že při spojení z localhostu nevyžaduje autorizaci. Pak by stačilo umístit na mailserver záškodnický script, který bude rozesílat spam a nebude vyžadovat aurorizaci.
Tak jako tak, mít hesla v PLAINTEXTU je bezpečnostní riziko.
Stran: [1]
