Исходное сообщение
"Подключение виртуальной базы пользователей к Dovecot с CRAM-..." Отправлено Гайбруш Трипвуд, 14-Ноя-09 16:17
Тред вы не дочитали, они там разобрались. Попробуем уйти в детали. CRAM-MD5 работает так: - сервер передает в открытом виде параметр m - клиент вычисляет такую вот штуку HMAC(K,m) = H((K ⊕ opad) ∥ H((K ⊕ ipad) ∥ m)), где K - это пароль (на самом деле там есть еще детали, но несущественные для нас) и передает серверу. H - это MD5, а opad и ipad - известные константы, ∥ - просто присоединение, а ⊕ - XOR. - сервер делает то же самое, только с паролем клиента, который хранится на сервере - сервер сравнивает то, что вычислил и то, что получил от клиента Так вот, на сервере должен хранится пароль в открытом виде, иначе эту HMAC не вычислить. Довекот делает хитрее, он заранее выполняет некоторую часть вычислений, которая не зависит от меняющегося в каждой сессии параметра m. Но если злоумышленник украдет этот довекотовский хеш, то, получив от сервера число m, он проделает оставшуюся часть вычислений и успешно авторизуется, без всякого брутфорса. Если же он украдет файл юниксовых паролей (MD5 с солью), то ему придется делать брутфорс, чтобы определить пароль. Видите разницу? > схему в студию как вы будете зная хеш на стороне сервера проходить авторизацию конкретную схему я описать не могу, нужно разбираться, что именно dovecot вычисляет, но поверьте, имея на руках файл с хешами, злоумышленник разберется Если вас все это не убеждает, то у меня больше нет аргументов, спросите у кого-нибудь еще. Все уже разжевал.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: