---

Hejsa,

Har lige opgraderet min postfix server, og skulle igen til at pille lidt
i sourcekoden for at få min server til at fungere. Skulle jeg også
sidste gang.

Det drejer sig om postfix politik med at lovercase brugernavne før den
forsøger at finde username i en af de data storages den understøtter.
PAM i mit tilfælde.

Eks.

username: PeterMadsen

Bliver til

username: petermadsen

Det sker i:

postfix/local/recipient.c

Hvor der køres en

/*lowercase(state.msg_attr.local);*/

Udkommenteret for at virke på mit system.

Er der en RFC der siger, at man ikke må have usernames i case eller
sådan noget? Eller er det bare en historisk kode ting fra IBM's side.

Hvis der ikke er nogen reel grund til det, tror jeg at jeg vil foreslå
dem at lave en compile time option til at vælge, om man vil have case /
ingen case i sine usernames.

Usmart efter min mening, da usernames med case har meget bedre sikkerhed
en tilsvarende uden.

mvh

Nico

---

Nikolaj Hansen wrote:

> Er der en RFC der siger, at man ikke må have usernames i case eller
> sådan noget? Eller er det bare en historisk kode ting fra IBM's side.

Se for eksempel
http://marc.theaimsgroup.com/?l=postfix-users&m=108281191900443&w=2

Mixed-case usernames er i det hele taget en uskik, netop fordi man ikke
kan være sikker på hvordan det næste stykke software man får brug for
vil håndtere det. Og eftersom ingen sikkerhed bør basere sig på
hemmeligholdelsen af et brugernavn, er den pointe ikke så væsentlig.

--
Niels Callesøe - dk pfy
pfy[at]nntp.dk - http://www.t29.dk/~nica/disclaimer.php

mailto:USer@hOsT!

---

Niels Callesøe wrote:

> Se for eksempel
> http://marc.theaimsgroup.com/?l=postfix-users&m=108281191900443&w=2
>
> Mixed-case usernames er i det hele taget en uskik, netop fordi man ikke
> kan være sikker på hvordan det næste stykke software man får brug for
> vil håndtere det. Og eftersom ingen sikkerhed bør basere sig på
> hemmeligholdelsen af et brugernavn, er den pointe ikke så væsentlig.
>

Så burde man IMHO bygge case in-sensitivy ind i UNIX (PAM etc.).

Sådan at et query efter bruger

PeterMadsen

Bliver til

petermadsen.

Eller spærre for at kunne have case i username i det hele taget.

I stedet for at overlade beslutningen til den enkelte client applikation
til OS'ets sikkerheds del.

Som du selv siger:

"netop fordi man ikke kan være sikker på hvordan det næste stykke
software man får brug for vil håndtere det"

mvh

Nico