Dotaz: Co je to SPA?

[Dramon]

Zdravim.

Nevíte někdo, co si M$ představuje pod položkou v OE nebo O popsanou jako "Přihlašovat se pomocí zabezpečeného hesla (SPA)"?? Rád bych tuto funkci zprovoznil s PostFixem.

Dival jsem se na nastavení Exchange a tam tomu funkčně odpovídá přepínač "Použít TLS" bez vynucení SSL. Tady:
-Použít TLS - ano
-Vyžadovat šifrovanou komunikaci -ne
Normálně bych řekl, že TLS bez certifikátů nemůže fungovat, ale faktem je, že M$ si to zřejmě nemyslí, protože takovou konfiguraci bez problému skousne, resp. ji přednabízí.

Tušíte někdo, o co tu jde??

Díky.

Odpovědi

[Michal Kubeček]

Nebude to použití APOP místo USER/PASS u protokolu POP3? Tipoval bych nějakou perverzní zkratku typu Secure Password Authentication…

[Dramon]

S tou zkratkou máte pravdu. Ono se to tak i v ENG oficiálně jmenuje. Jen mě to nedocvaklo. :(
Ten APOP to nebude, tohle je skutečně vlastnost SMTP, nikoliv POP3 protokolu. Nicméně i pro něj je implementována možnost "použití zabezpečeného hesla".
Otázka bokem: OE na CRAM-MD5 asi nepřesvědčím, že ?? :)

[jm]

TLS nepotrebuje certifikat na strane klienta, pokud to v konfiguraci postfixu vylozene nevynutite.

[Dramon]

Jasně, certifikát je na straně serveru. Ale právě u Exchnage jde zapnout TLS bez zvolení certifikátu, což mě překvapuje. :)

[jm]

U Exchange me neprekvapuje vubec nic...

[Dramon]

Tak, odpovím si sám:
Použití SPA znamená, že se OE nepokusí o AUTH LOGIN i když je na serveru povolen. Ovšem, pokud se mu nepovede jiné AUTH (NTLM například), tak se zeptá na jméno a heslo a zruší zaškrtnutí SPA a pošle tyto citlivé informace via plain text (tedy base64). Což je zvláště u Exchange pěkně na enec, protože to je zároveň jméno/heslo do systému.
Všechno toto bylo vypozorováno z logů serveru a OE.

Takže zůstávám u ověřeného:
smtpd_use_tls = yes
smtpd_enforce_tls = no
smtpd_tls_auth_only = yes