I-Mscp mit Roundcube

    Quote from TheCry


    Also... Das ist schon richtig so, dass das Passwort unverschlüsselt ist. Daniel hat es wieder umgeschrieben, weil es aus Security Sicht keinen Sinn macht. Warum soll das Mailpasswort verschlüsselt sein, wenn der Angreifer schon Zugriff auf die Datenbank von imscp hat? Wenn er da schon drin ist, hat er auch überall Zugriff. Ich schreibe den Passwort Changer dementsprechend um. Ausserdem muss er noch die Option haben, wenn Courier noch installiert ist. Dann muss nich ein Befehl zusätzlich ausgeführt werden. Wird aber bestimmt nächste Woche. Ich habe morgen und am Freitag massig zu tun.


    Das stimmt nicht so ganz, Mensch ist ein Gewohnheitstier :)
    Stell dir mal vor ich verwende überall das selbe e-mail Adresse mit Passwort
    sei es bei Ebay paypal ....


    Wenn der angreifer soweit ist muss er aber trotzdem nicht wissen welches passwort der einzelne User verwendet oder ?

    Tut es dann noch was zur Sache, wenn er die Hauptdatenbank geöffnet hat? Dann hat er auch kein Problem mehr die verschlüsselten Passwörter zu entschlüsseln. Ich von meiner Seite verstehe die Sicht von Daniel.


    Und was eBay und Paypal betrifft..;) Dafür haben die auch extra Sicherheitsmechanismen wie Tamagotchi oder Handy eingebaut...;)

    Edited once, last by oldev01 ().

    Quote from Tango


    Das stimmt nicht so ganz, Mensch ist ein Gewohnheitstier :)
    Stell dir mal vor ich verwende überall das selbe e-mail Adresse mit Passwort
    sei es bei Ebay paypal ....


    Das ist aber dann nicht das Problem von i-MSCP sondern von dem, der überall die gleichen Passwörter benutzt ;). Wenn jemand schon so weit ist, das er zugriff als Root auf die DB hat, kann er ALLES andere auch lesen ;) Allem anderen kann ich Sci, bzw Sascha nur Beipflichten :)

    Feadback:


    Habe es ausprobiert mit Courier und Dovecot (jeweils auf Virtuelle Debian's)
    klappt wunderbar.


    Edit: 13:33 18.08.2011


    /var/www/imscp/gui/public/tools/roundcube/plugins/imscp_pw_changer/config.inc.php


    Code
    1. // i-MSCP PO-Server
    2. // Courier = 0;
    3. // Dovecot = 1;
    4. $rcmail_config['which_mail_po'] = '0';


    Es hat kein Funktion, ich habe es ausprobiert unter Courier die Dovecot also (1) ausgewählt und umgekehrt unter Dovecot die Courier (0)
    beides klappt.
    hat ja meiner Meinung nichts mit der Datenbank imscp-->mail_users Tabelle die Passwörter zu ändern Zutun oder ?

    Edited once, last by Tango ().


    Wenn Courier genutzt wird muss noch ein send_request durchgeführt werden und der mail_user muss auf change stehen.

    Der SQL Query unterscheidet sich auch nur mit dem status "change" zusätzlich wird nur noch der send_request ausgeführt, damit das "change" auch abgearbeitet wird. Das muss aber nur bei Courier gemacht werden. Wenn ich mich richtig erinnere wird durch den Request Manager der PO restartet.