On Mon, Feb 17, 2003 at 05:43:07PM +0000, Beast wrote: > Attack tsb belum dipikirkan , mengingat standart di internet spt > itu. kalau user tahu, silakan pakai pgp. yg jelas ini tergantung > dr user, bukan server. Yg paling ditakutkan adalah password bisa > dgn mudah di curi dgn sniffer murahan :-)
ya sudah berarti tidak masuk prioritas. password dicuri bukannya gampang diganti? :-) yang penting sistem keseluruhan tidak compromised. dengan tambahan layer macam sasl/ssl, justru meningkatkan vulnerability sistem secara keseluruhan. dalam banyak kasus logging yang baik malah membantu dalam kasus pencurian password. untuk kasus anda, bahkan privasi data pun tidak perlu. yang anda inginkan hanya melindungi password. sejauh yang saya tahu, implementasi ssl/tls yang ada sekarang dimaksudkan untuk melindungi privasi, bukan hanya melindungi password saja. tapi ya sudah lah, gunakan saja pop3/imap over ssl (port 995, 993). tinggal pakai stunnel di sisi server. > smtp tdk perlu (kan tdk ada password?). kecuali ada user yang berada di luar network anda, bermaksud menggunakan mailserver sebagai relayer. > pop/imap client-> pop/imap server : ssl > browser -> webserevr/webmail : ssl > login/ssh/telnet/ftp/proxy/apps/pam/nss -> ldap : ssl (?) > win - samba-> ldap : ssl(?) saya kurang tahu bagaimana kaitannya dengan samba, kalau diinginkan dilakukan secara transparent. kalau ide saya, pakai saja user system, jangan gunakan /etc/passwd,shadow tapi gunakan nss_ldap dan pam_ldap. kalau anda ingin 'secure' letakkan stunnel di depannya. khusus untuk webserver, sebaiknya jangan pakai stunnel, bukannya apa-apa, punya pengalman buruk dengan stunnel. tapi itu sudah versi yang dulu, mungkin yang sekarang sudah tidak. cara paling gampang untuk tahu ya ditest langsung :-) > Yg saya pikirkan adalah penerapan single sign on, jadi kedepannya semua > informasi di simpan di ldap termasuk password untuk oracle dan apps2 lainya. > jadi tiap ada perubahan di server ndak perlu ngerubah di 1000 client (bukan > 500 spt kemarin loh :) anda tidak perlu mengganti 1000 komputer, kecuali anda benar mau menggunakan 1000 server untuk melayani 1000 client :-) paling-paling cuman ada 4/5 server kan? tapi ya ndak apa-apa. > yg makin bikin bingung adalah macem2 kerberos, sasl dan gssapi, any hints? iya, saya janji mau mengkomentari soal gssapi. tapi setelah sampai di rumah dan saya buka source cyrus-sasl. saya jadi berubah pikiran, yaitu lebih baik anda baca sendiri baik-baik cyrus-sasl :-) saya kuatir kalau saya nekad menjelaskan nanti jadi terjebak pada pengawuran besar-besaran. saya pernah mencoba starttls dengan postfix/exim/qmail, pernah pakai smtp auth dengan postfix/exim/qmail, pernah coba imap/pop3 over ssl, pernah coba starttls untuk cyrus-imapd dan courier-imap. pernah compile postfix+cyrus-sasl supaya menggunakan metode rimap, sehingga remote user bisa menggunakan password di ms-exchange sebagai autentikasi untuk esmtp auth postfix dengan metode PLAIN, LOGIN, NTLM, CRAM-MD5 (ini semua disediakan oleh cyrus-sasl). sayangnya belum pernah dihadapkan pada kebutuhan seperti yang anda hadapi sekarang. eh .. sebentar, di atas itu bukan pameran lho (lagian apanya yang mau dipamerkan :-) itu sekedar menunjukkan apa saja yang bisa dilakukan. siapa tahu bisa dapat hint(s) dari situ. memang yang bikin nampak rumit kan beberapa implementasi disatukan: ldap over ssl, authentikasi ldap menggunakan sasl berikut menyimpan database user sasl ke dalam ldap. nah lho! bisa muter-muter kan :-) kalau saran saya, seperti biasa, mulai semuanya dari yang paling sederhana. dalam artian sederhana menurut anda berbeda dengan saya. tapi ... enough is enough. Salam, P.Y. Adi Prasaja -- Right or wrong my list. Unsubscribe option is currently unavailable. Indeed, it's available upon request .. but: cepek dulu donk!
