Heute hat mir das jahrelange Rumgenerve mit Outlook.com und allen Domains die da noch so dazugehören (z.B. hotmail.de) gereicht: Es war praktisch nie möglich E-Mails an solche Adressen zu senden, weil Microsoft nur E-Mails von absendenden E-Mail-Anbietern zulässt, die auf einer Whitelist stehen. Und da kommt man entweder mit viel betteln oder gar nicht drauf. Jetzt ist Schluß damit. Ab jetzt wird jede eingehende E-Mail, die über Outlook.com kommt, mit dem Hinweis abgelehnt, dass der Sender auf seine E-Mail sowieso keine Antwort bekommen könnte und deshalb lieber einen anderen E-Mail-Anbieter zum Versand nutzen soll. Ich bin gespannt wie das ankommt.
Hashing in MySQL zu schwach?!
Entweder ich übersehe grade einen wichtigen Punkt oder pam-mysql und MySQL selbst bieten keinen sinnvollen Hashing-Algorithmus für Passwörter. Aber zum eigentlichen Thema:
Die Informationen zu den E-Mail-Adressen und FTP-Accounts auf diesem Server befinden sich in einer MySQL-Datenbank. Unter anderem auch die gehashten Passwörter. Auf diese Informationen wird beispielsweise via pam-mysql zugegriffen. pam-mysql in Debian bietet zum Hashing der Passwörter drei Möglichkeiten. crypt(), md5 und die MySQl password()-Funktion.
Doch alle drei haben schwerwiegende Nachteile: crypt() weil es nur die ersten acht Zeichen der zu hashenden Zeichenkette beachtet, md5 weil der Algorithmus inzwischen gebrochen wurde und zu password() steht im MySQL-Manual ausdrücklich: “The PASSWORD() function is used by the authentication system in MySQL Server; you should not use it in your own applications.“.
Also alles irgendwie keine sinnvollen Möglichkeiten. Die neuste Upstreamversion von libpam-mysql unterstützt auch sha1, wobei dieses ja auch mehr oder weniger gebrochen ist.
Ich persönlich würde mir eher sowas wie sha512 + salt wünschen. Aber das unterstützt MySQL nicht und somit auch nicht pam-mysql.
Kennt da jemand irgendeine tolle Möglichkeit dieses Problem zu umgehen oder muss man zwangsläufig damit leben?
Update: Ich sehe grade, dass MySQL6 das Erzeugen von Hashs der SHA2-Famile ermöglichen wird. Das ist ja immerhin schon mal etwas. Fehlt nur noch das Salt.