Аутентификатор “plaintext” может быть сконфигурирован для поддержки аутентификационных механизмов PLAIN и LOGIN, оба которые передают аутентификационные данные в виде открытого (незашифрованного) текста (хотя и кодированного base64). Использование открытого текста - риск для безопасности; настоятельно рекомендуем на использовании SMTP-шифрования (смотрите раздел 38), если вы используете механизмы PLAIN и LOGIN. Если вы используете открытый текст, то вы не должны использовать для SMTP-подключений те же самые пароли, что и для учётных записей пользователей (имеются ввиду системные учётки - чтоб не могли перехватить и залогинится - прим. lissyara).
34.1 Использование plaintext в сервере
При выполнении как сервер, “plaintext” выполняет аутентификационный тест путём раскрытия строки. Он имеет следующие опции:
Имя
Использование
Тип
Дефолтовое значение
server_prompts
plaintext
string†
незадана
Содержимое этой опции, после раскрытия, должно быть списком строк подсказок, разделённых двоеточиями. Если раскрытие неудачно, даётся временное отклонение аутентификации.
Имя
Использование
Тип
Дефолтовое значение
server_condition
plaintext
string†
незадана
Эта опция должна быть назначена, для конфигурирования драйвера как сервера. Её использование описано ниже.
Данные, посылаемые клиентом с командой AUTH, или в ответ на последующие подсказки, являются закодированными base64, b, таким образом, могут содержать любые значения байтов, после расшифровки. Если какие-либо данные доставлены с командой , они обрабатываются как список строк, разделённых NUL (бинарными нулями), первые три из которых, помещаются в переменные раскрытия “
$auth1
”, “
$auth2
” и “
$auth3
” (ни LOGIN, ни PLAIN не используют более чем три строки).
Для совместимости с предыдущими релизами exim`a, значения, также, помещаются в переменные раскрытия “
$1
”, “
$2
” и “
$3
”. Однако, использование этих перемнных с этой целью, сейчас, осуждается, поскольку оно может привети к беспорядку в раскрытиях строк, котоые также их используют для других целей.
Если в “server_prompts” находится больше строк, чем переданных с командой AUTH, остающиеся подсказки используются для получения дополнительных данных. Каждый ответ клиента может быть списком строк, разделённых NUL-символами.
Как только получено достаточное число строк данных, раскрывается “server_condition”. Если раскрытие принудительно неудачно, аутентификация непройдена. Любые другие ошибки аутентификации вызывают возврат временного кода ошибки. Если результат успешного раскрытия - пустая строка, “0”, “no”, или “false”, - аутентификация неудачна. Если результат раскрытия - “1”, “yes”, или “true”, - аутентификация успешна, и раскрывается общая опция “server_set_id”, и сохраняется в “
$authenticated_id
”. Для любого другого результата, возвращается временный код ошибки, с раскрытой строкой в качестве текста ошибки. Предупреждение: Если вы используете, для нахождения пароля пользователя, поиск в раскрытии - убедитесь, что сделали неудачу аутентификации, если пользователь неизвестен. В конце следующего раздела есть хорошие и плохие примеры.
34.2 Аутентификационный механизм PLAIN
Аутентификационный механизм PLAIN (RFC2595), определяет, что три строки посылаются как один элемент данных (т.е. одна, комбинированная строка, содержащая два NUL-разделителя). Данные посылаются или как часть команды AUTH, или впоследствии, в ответе на пустую подсказку сервера.
Вторая и третья строки - имя пользователя и соответствующий пароль. Используя одно фиксированное имя пользователя и пароль, как пример, это могло бы быть сконфигурировано следующим образом:
Установка “server_prompts” задаёт единственную, пустую подсказку (пустые элементы в конце списка строки - игнорируются). Если все данные прибывают как часть команды AUTH, как обычно и бывает, - подсказка не используется. Об этом аутентификаторе извещается в ответе на EHLO
250
-AUTH PLAIN
и клиентский хост может аутентифицироваться путём посыла команды
AUTH PLAIN AHVzZXJuYW1lAG15c2VjcmV0
Поскольку тут содержится три строки (больше чем число подсказок), от клиента не требуется больше данных. Альтернативно, клиент может лишь послать
AUTH PLAIN
для начала аутентификации, в этом случае сервер ответчает пустой подсказкой. Клиент должен ответить комбинированной строкой данных.
Строка данных - закодирована base64, как требуется по RFC. Этот пример, после расшифровки, - “<NUL>username<NUL>mysecret”, где “<NUL>” - нулевой байт. Она разделяется на три строки, первая из которых - пустая. Опция “server_condition”, в проверках аутентификаторов, что вторые две - “username” и “mysecret” - соответствуют.
Наличие лишь одного фиксированного имени пользователя и пароля, как в этом примере, - не очень реалистично, хотя, для маленькой организации, с горсткой аутентифицируемых клиентов, - это могло бы иметь смысл.
Более сложный случай этого аутентификатора может использовать имя пользователя в “
$auth2
”, для поиска пароля в файле, или БД, и, возможно, делать шифрованное сравнение (смотрите “crypteq”, в разделе 11). Вот - пример этого подхода, где пароли ищутся в DBM-файле. Предупреждение: Это - неправильный пример:
Раскрытие использует имя пользователя (“
$auth2
”), как ключ для поиска пароля, который, затем, сравнивается с переданным паролем (“
$auth3
”). Почему этот пример неправилен? Он прекрасно работает для существующих пользователей, но рассмотрим, что происходит если даётся имя несуществующего пользователя. Поиск неудачен, но поскольку для поиска не даны строки удачи/неудачи, он приводит к пустой строке. Таким образом, чтобы обойти аутентификацию, все клиенты должны предоставлять несуществующее имя пользователя, и пустой пароль. Корректный способ написать эту проверку:
В этом случае, если поиск успешен, результат проверяется; если поиск неудачен, аутентификация - неудачна. Если вместо “eq” используется “crypteq”, первый пример, фактически, безопасен, поскольку “crypteq” всегда неудачна, если второй аргумент пуст. Однако, второй способ написания проверки, делает логику более понятной.
34.3 Аутентификационный механизм LOGIN
Аутентификационный механизм LOGIN не задокументирован в каком-либо RFC, но - он используется множестовм программ. С командой AUTH никаких данных не посылается.Вместо этого, имя пользователя и пароль даются раздельно, в ответах на подсказки. Аутентификатор “plaintext” может быть сконфигурирован для поддержки этого, как в этом примере:
fixed_login:
driver = plaintext
public_name = LOGIN
server_prompts = User Name : Password
server_condition = \
${if and {{eq{$auth1}{username}}{eq{
$auth2}{mysecret}}}\
{yes}{no}}
server_set_id = $auth1
Поскольку работает “plaintext”, этот аутентификатор принимает данные предоставленные с командой AUTH (в нарушение спецификации LOGIN), но, если клиент не предоставляет их (как в случае LOGIN клиентов), строка подсказки используется для получения двух элементов данных.
Некоторые клиенты очень следят за точным текстом подсказок. Например, Outlook Express, как сообщают, распознаёт только “Username:” и “Password:”. Вот - пример аутентификатора LOGIN, использующего эти строки. Они использует условие раскрытия “ldapauth”, для проверки имени пользователя и пароля, путём связи с LDAP-сервером:
Отметтьте использование оператора “quote_ldap_dn”, для корректного квотирования “DN” для аутентификации. Однако, базовый оператор “quote”, а не лююой из опреаторов квотирования LDAP, явялется правильным при использовании для пароля, поскольку квотирование необходимо лишь для того, чтобы пароль соответствовал синтаксису exim`a. На уровне LDAP, пароль - неинтерпретируемая строка.
34.4 Поддержка для иных видов аутентификации
Множество особенностей раскрытия строк предоставлены как интерфейс к иным способам аутентификации пользователей. Они включают проверку традиционно зашифрованных паролей “/etc/passwd” (или эквивалент), PAM, Radius, “ldapauth”, “pwcheck”, and “saslauthd”. Для дополнительных деталей смотрите раздел 11.7.
34.5 Использование “plaintext” как клиента
Аутентификатор “plaintext” имеет две клиентские опции:
Имя
Использование
Тип
Дефолтовое значение
client_ignore_invalid_base64
plaintext
boolean
ложь
Если клиент получает подсказку сервера не являющуюся допустимой base64 строкой, оставляется аутентификация по-умолчанию. Однако, если эта опция установлена в истину, ошибка в вызове игнорируется, и клиент посылает обычный ответ.
Имя
Использование
Тип
Дефолтовое значение
client_send
plaintext
string†
незадана
Строка - список разделённых двоеточиями строк аутентификационных данных. Каждая строка независимо раскывается до отправки на сервер. Первая строка - посылается с командой AUTH; дополнительные строки посылаются на подсказки сервера. До раскрытия каждой строки, значение новой подсказки помещается в следующую переменную “
$auth
<n>”, начинающихся с “
$auth1
”, для первой подсказки. Этим способом сохраняется вплоть до трёх подсказок. Таким образом, подсказка полученная в ответ на отправленную первую строку (с командой AUTH), может быть использована в раскрытии второй строки, и так далее. Если получена недопустимая base64 строка при установленной опции “client_ignore_invalid_base64”, в переменную “
$auth
<n>” помещается пустая строка. Отметтьте: Вы не можете использовать раскрытия для создания нескольких строк, поскольку у разбиения приоритет выше и оно происходит раньше.
Поскольку аутентификационный механизм PLAIN требует байт NUL (бинарный ноль) в данных, к каждой строке до её отправки применяется дальнейшая обработка. Если в строке есть символы крышки (^), они конвертируются в NUL. Если в строке требуется крышка как данные, символ должен быть удвоен в строке.
Это - пример клиентской конфигурации, которая воплощает аутентификационный механизм PLAIN с фиксированным именем пользователя и паролем:
Нехватка двоеточий означает, что весь текст посылается с командой AUTH, с символами крышки преобразованными в NUL. Подобный пример, использующий механизм LOGIN:
Начальное двоеточие означает, что первая строка пустая, таким образом, с командой AUTH никаких данных не посылается. Оставшиеся строки посылаются в ответ на подсказки.