[OpenLDAP/Debian] Wachtwoord breekt na "$"-teken

[tim427]

Gebruikte setup:

Client:
/etc/pam.d/common-password:

code:

password    [success=2 default=ignore]  pam_unix.so obscure sha512
password    [success=1 user_unknown=ignore default=die] pam_ldap.so try_first_pass

Het wachtwoord "1234$ietsanders" wordt ook geaccepteerd:
Account heeft een {SSHA} password

Probleem:

• Het wachtwoord is gewijzigd naar "1234$test"
• Het wachtwoord "1234$test" wordt geaccepteerd
• Het wachtwoord "1234$ietsanders" wordt ook geaccepteerd
• Het wachtwoord "1234" wordt ook geaccepteerd

Met andere woorden: alles na de "$"-teken wordt niet meer naar gekeken.

Iemand bekend met dit probleem? Zou dit liggen aan de pam__ldap.so? De "crypt" module die men gebruikt? Iemand suggesties?

Kon zo 1-2-3 niet vinden, dat dit probleem bekend zou zijn.

[Hero of Time]

Je lijkt een bug te hebben gevonden. Al de bugtracker van PAM bekeken? Want wat je nu doet is in feite hier een bug report maken, ipv op de juiste plek: de bugtracker van het betreffende pakket.

Crypt heeft een limiet van 8 tekens volgens mij voordat het alle andere invoer negeert. Daar kom je dus niet eens aan.

[tim427]

Check, het lijkt inderdaad tevens gelimiteerd te zijn aan max 8 tekens.

[Thc_Nbl]

Probeer het eens zo : passwd user test\$1234

[Hero of Time]

\ is een geldig teken voor een wachtwoord, dus dan wordt het wachtwoord test\ en niet test$1234. Je kan niet zomaar tekens proberen te escapen.

[sam.vimes]

Hoe wijzig je het wachtwoord naar die waarde? Interactief met het commando passwd? Of doe je het in een script met chpasswd?
In het tweede geval zou het een interpolatiefout kunnen zijn, waarbij "$test" en "$ietsanders" worden geïnterpoleerd als de lege string en je dus steeds het wachtwoord "1234" zet.

[eric.1]

Een bug lijkt me een beetje overdreven. $ wordt over het algemeen geinterpreteerd als variabele; logisch dat het deel erna genegeerd werd (1234$test wordt dan 1234 omdat $test een lege string is...vermoedelijk).

Zoals sam boven mij al aangeeft...hoe "set" je de wachtwoorden?

Je zal het of moeten escapen, niet toestaan of tussen enkele aanhalingstekens gooien in een scriptje gok ik.