☰

Falha no login do RoundCube no servidor IMAP local

tag-icon • tag-icon postfix postgresql imap courier roundcube
Falha no login do RoundCube no servidor IMAP local

Tenho seguido este guia para configurar um servidor de e-mail em meu servidor:http://flurdy.com/docs/postfix/edition5.html A única diferença é que este tutorial usa um banco de dados MySQL e eu usei PostgreSQL.

Mas não consigo fazer login no RoundCube. Esta é uma mensagem que recebo no log de erros do RoundCube:

[31-Dec-2013 16:40:42 +0100]: IMAP Error: Login failed for [email protected] from A.B.C.D. AUTHENTICATE CRAM-MD5: A0001 NO Login failed. in /usr/share/roundcube/program/lib/Roundcube/rcube_imap.php on line 184 (POST /?_task=login&_action=login)

Isto é do log IMAP:

[31-Dec-2013 16:40:37 +0100]: [CB8A] S: * OK [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA AUTH=CRAM-MD5 AUTH=CRAM-SHA1 IDLE AUTH=PLAIN ACL ACL2=UNION] Courier-IMAP ready. Copyright 1998-2011 Double Precision, Inc.  See COPYING for distribution information.
[31-Dec-2013 16:40:37 +0100]: [CB8A] C: A0001 AUTHENTICATE CRAM-MD5
[31-Dec-2013 16:40:37 +0100]: [CB8A] S: + PDIxNUFCQjFGRjJBNTi1RUJEMTIzMjFEMDAwNDIxMTUzQGxpbm9kZT4=
[31-Dec-2013 16:40:37 +0100]: [CB8A] C: bWFya29Adm9kYW5vdmljLm5ldCBmMzk2njk0OTRiMTA1Mjc2YjllYWIxODhhZDI2OWM3NA==
[31-Dec-2013 16:40:42 +0100]: [CB8A] S: A0001 NO Login failed.

Eu tenho um usuário na minha tabela de banco de dados no Postgres. Aqui está ele:

<?xml version="1.0" encoding="utf-8" ?>
<data>
    <header>
        <column name="id" type="varchar" />
        <column name="name" type="varchar" />
        <column name="uid" type="int4" />
        <column name="gid" type="int4" />
        <column name="home" type="varchar" />
        <column name="maildir" type="varchar" />
        <column name="enabled" type="bool" />
        <column name="change_password" type="bool" />
        <column name="clear" type="varchar" />
        <column name="crypt" type="varchar" />
        <column name="quota" type="varchar" />
        <column name="procmailrc" type="varchar" />
        <column name="spamassassinrc" type="varchar" />
    </header>
    <records>
        <row>
            <column name="id">[email protected]</column>
            <column name="name">test</column>
            <column name="uid">5000</column>
            <column name="gid">5000</column>
            <column name="home">/var/spool/mail/virtual</column>
            <column name="maildir">test/</column>
            <column name="enabled">t</column>
            <column name="change_password">t</column>
            <column name="clear">aaaa</column>
            <column name="crypt">$5$c74a6630fAb058a5$Zo95c7qWT.o/Twg4niR/gcNoVq2XVVPl0aw6DoS8ufA</column>
            <column name="quota"></column>
            <column name="procmailrc"></column>
            <column name="spamassassinrc"></column>
        </row>
    </records>
</data>

Tentei fazer login com teste [email protected]com a senha simples aaaae a criptografada. Só por segurança, também gerei a senha dentro do MySQL (usando a expressão do guia) e depois copiei o resultado no campo do Postgres. E sim, MySQL e Postgres estão no mesmo servidor. Aqui está a expressão que usei no MySQL:

select encrypt('password', CONCAT('$5$', MD5(RAND())));

Eu realmente não sei mais o que fazer, então qualquer ajuda seria apreciada. Se precisar de mais informações, é só dizer.

EDITAR:

Consegui fazer login no servidor via telnet (quando resolvi o problema do diretório de e-mail ausente). Mas ainda não consigo me conectar ao RoundCube. Aqui está a saída de mail.log:

Dec 31 20:14:45 localhost imapd-ssl: Connection, ip=[::ffff:127.0.0.1]
Dec 31 20:14:45 localhost authdaemond: received auth request, service=imap, authtype=cram-md5
Dec 31 20:14:45 localhost authdaemond: authpgsql: trying this module
Dec 31 20:14:45 localhost authdaemond: cram: challenge=PDk1N0QxRTI3QTlFREy3MkYwODI3RUE2MDVDREREMTdBQGxpbm9kZT4=, response=bWFya28gY2Q5OTRmNDI2ZtY3NDUzZGM2YmJlYjhmNTI0ZWQ3NWI=
Dec 31 20:14:45 localhost authdaemond: cram: decoded challenge/response, username 'test'
Dec 31 20:14:45 localhost authdaemond: Install of a character set for Postgresql: UTF8
Dec 31 20:14:45 localhost authdaemond: SQL query: SELECT id, crypt, '', uid, gid, home, concat(home,'/',maildir), '', name, '' FROM users WHERE id = '[email protected]'  AND (enabled=TRUE)
Dec 31 20:14:45 localhost authdaemond: authpgsql: REJECT - try next module
Dec 31 20:14:45 localhost authdaemond: FAIL, all modules rejected
Dec 31 20:14:45 localhost imapd-ssl: LOGIN FAILED, method=CRAM-MD5, ip=[::ffff:127.0.0.1]
Dec 31 20:14:50 localhost imapd-ssl: Disconnected, ip=[::ffff:127.0.0.1], time=5, starttls=1

Responder1

Sendo confrontado com o mesmo problema, fiz algumas pesquisas no Google-Foo para chegar à raiz do problema: ComoGabrielsuposta correçãoem sua resposta, a culpa não é do Roundcube – mas da forma como a senha é armazenada e a criptografia funciona.

Alguns princípios básicos óbvios

Ao falar sobre CRAM-MD5, MD5 ou CRYPT, estamos falando de criptografia unidirecional: um hash é gerado. Não podemos fazer isso ao contrário, derivar a senha em texto simples do hash é (além da força bruta) impossível e não é realista para qualquer procedimento de login. Portanto, com a senha armazenada usando um desses hashes, só podemos validá-la quando tiver texto simples - é por isso que definir $rcmail_config['imap_auth_type'] = 'PLAIN'a configuração do roundcube "resolve" isso.

Opções

  1. Fique com PLAIN/LOGIN:
    • tudo bem com Roundcube e IMAP no mesmo servidor, desde que os usuários se conectem com HTTPS
    • não há problema com acesso de clientes de e-mail, desde que a conexão seja segura (IMAPS/POP3S/SMTPS)
    • uma falha de segurança com tráfego não criptografado
  2. Armazene as senhas em texto simples
    • todos os tipos de mecanismos de autenticação podem ser usados, o que é uma vantagem
    • ter todas as senhas de seus usuários em texto simples em um arquivo/banco de dados é absolutamente impossível
  3. Armazene as senhas usando CRAM-MD5
    • oferece pelo menos CRAM-MD5, que a maioria dos clientes suporta
    • ainda deixa a opção de usar PLAIN/LOGIN
    • deve ser suportado por suas ferramentas administrativas
      • alguns deles podem precisar reverter para ferramentas de terceiros para criptografia (por exemplo, PostfixAdmin usa /usr/sbin/doveadm pw), o que faz com que a senha em texto simples apareça brevemente na lista de processos cada vez que for invocada
    • outras ferramentas de terceiros (plugins/addons etc.) podem ser um problema

Ainda estou lutando para saber qual caminho seguir – com apenas o número 2 definitivamente descartado (não quero dar presentes para hackers em potencial;)

Responder2

Eu acho que o problema é tentar usar o mecanismo de autenticação CRAM-MD5 com o campo "crypt" do banco de dados.

No seu registro:

Dec 31 20:14:45 localhost authdaemond: SQL query: SELECT id, **crypt**, '', uid, gid, home, concat(home,'/',maildir), '', name, '' FROM users WHERE id = '[email protected]'  AND (enabled=TRUE)
Dec 31 20:14:45 localhost authdaemond: authpgsql: REJECT - try next module
Dec 31 20:14:45 localhost authdaemond: FAIL, all modules rejected
Dec 31 20:14:45 localhost imapd-ssl: LOGIN FAILED, **method=CRAM-MD5**, ip=[::ffff:127.0.0.1]

Isso significa que, na consulta SQL você obtém o campo "crypt", o authdaemond não consegue ler a senha simples, então o CRAM-MD5 não funciona. Senhas em texto não criptografado permitem que a autenticação CRAM-MD5 seja implementada.

Consertar:

  1. Você pode alterar o mecanismo de autenticação do cliente (roundcube) para PLAIN ou LOGIN. Isso é compatível com o campo cripta.
  2. Altere no arquivo authpgsqlrc. Defina PGSQL_CLEAR_PWFIELD para encontrar o campo "limpar" e comente PGSQL_CRYPT_PWFIELD. Portanto, o authdaemond fará uma consulta sql para encontrar a senha em texto não criptografado.

Espero que isso funcione para você.

Responder3

Talvez seja a configuração do roundcube:

Não estou 100%, mas a configuração padrão do roundcube usa autenticação "PLAIN", então você pode alterá-la no arquivo de configuração e testar:

// IMAP AUTH type (DIGEST-MD5, CRAM-MD5, LOGIN, PLAIN or null to use
// best server supported one)
// $rcmail_config['imap_auth_type'] = LOGIN;
$rcmail_config['imap_auth_type'] = null;

Nas versões antigas (0.3.1) do roundcube você só tem "auth", "plain" ou "check", assim:

// IMAP auth type. Can be "auth" (CRAM-MD5), "plain" (PLAIN) or "check" to auto detect.
// Optional, defaults to "check"
$rcmail_config['imap_auth_type'] = "auth";

Depende da versão que você está usando.

informação relacionada