Módosítások

= Shibboleth, Webmail szoftverek illesztése , IMAP Proof-of-concept = = In English ===Requirements==* The webmail software must not see or use users' LDAP password, the IdP must not release even the hashed form of the password.* IMAP must authenticate with username and password.* If one has access to the webmail server, she must not have access to the IMAP on behalf of all users (she can however access to active users session). ==Solution concepts==* The IdP and the IMAP server share an authentication database.* With every webmail SP request the IdP generates a new password for that particular user and writes it to the database.* The webmail SP receives this password with the attribute set and uses the username (e-mail address) and password to access the IMAP server.* The IMAP server tries to authenticate against the database.* In order to secure access, this password entry should contain an expiration time, which invalidates the password after the IdP session ends, so IMAP accepts only those users who has recently initiated active session at the IdP side. ==ShibbolethIdP plugin==* We have developed an IdP plugin -attribute resolver- which can generate this short-lifetime password (called service token) for the user and write it to the database.* Shibboleth IdP attribute resolver configuration is independent from the actual SP, so the plugin must check whether the current request came from an SP for which it needs to generate the token.* The service token is sent in plain-text, so the Shibboleth attribute statement must be encrypted either by using artifact resolution over SSL/TLS or by using XML encryption with HTTP-Post. ==IMAP configuration==* As we don't want to force the use of webmail, IMAP needs to use LDAP authentication as well.* Most IMAP servers can be configured to use PAM, which can be configured to use arbitrary SQL tables for authentication and it also supports authentication chaining. ==Webmail softwares==* For our proof-of-concept we have tried squirrelmail and roundcube with its HTTP-authentication plugin. If the SP is releasing the username and service token as PHP_AUTH_USER and PHP_AUTH_PW, this authentication module works out-of-the-hez box. = Magyarul =

A fenti kritériumokat az 'egyszer használatos', rövid lejárató lejáratú jelszó használata ('service token') kielégíti. Ebben az esetben az IdP minden egyes webmail bejelentkezéshez generál egy véletlen jelszót, és ezt elmenti egy adatbázisban, (beállítva a jelszóhoz egy rövid lejárati időt) valamint elküldi a webmail SP-nek. A webmail ezen rövid lejáratú jelszó használatával autentikál az IMAP szerver felé.

CREATE TABLE `otpservice_tokens` (

Az IdP plugin aktuális verziója a következő URL-ről tölthető le: http://software.niif.hu/maven2/hu/niif/shibboleth-servicetoken/1.0. A <code>shibboleth-otpdataconnectorservicetoken-1.0.jar </code> -t és illetve a megfelelő adatbázis drivert (MySQL esetén <code>mysql-connector.jar -t </code>) be kell másolni az <code>idp.war WEB-INF/lib </code> könyvtárába.

Az <code>attribute-resolver.xml </code> -ben a következő változtatásokat kell megtenni:

xmlns:otpniifconnector="urn:geant:niif.hu:dataconnector"

urn:geant:niif.hu:dataconnector classpath:/schema/otpdataconnectorservicetokendataconnector.xsd">

<resolver:AttributeDefinition id="otpserviceToken" xsi:type="Simple"

sourceAttributeID="otpserviceToken">

<resolver:Dependency ref="otpConnectorserviceTokenConnector" />

name="urn:geant:niif.hu:otpservicetoken" friendlyName="otpserviceToken" />

<!-- one time password service token generalasa --> <resolver:DataConnector xsi:type="otpniifconnector:OTPServiceToken" id="otpConnectorserviceTokenConnector"

generatedAttributeID="otpserviceToken" tableName="otpservice_tokens"

passwordLifetime="400XXXXXX"

Fontos, hogy a <code>DataConnector</code> (másodpercekben értelmezett) <code>passwordLifetime</code> attribútumát jól állítsuk be, azaz hosszabb legyen, mint a webmail oldali SP session, de javasolt 24 óránál rövidebbre venni. Az <code>attribute-filter.xml </code> -ben pedig ki kell engedni az <code>uid </code> és otp <code>serviceToken</code> attribútumokat a webmail sp-nek:

<AttributeRule attributeIDAttributeFilterPolicy id="otpsendServiceTokenToWebmail"> <PermitValueRule PolicyRequirementRule xsi:type="basic:AttributeRequesterString" value="https://webmail.example.org/shibboleth" /> </AttributeRule> <AttributeRule attributeID="uid"> <PermitValueRule xsi:type="basic:AttributeRequesterStringANY" /> </AttributeRule> <AttributeRule attributeID="serviceToken" > value <PermitValueRule xsi:type="httpsbasic:ANY" /> </webmail.example.org/shibboleth" /AttributeRule> </AttributeRuleAttributeFilterPolicy>

sasl_sql_select: SELECT password AS userPassword FROM otp service_tokens WHERE uid = '%u' AND expiration > now()

Az /etc/pam.d/imap fájlban kell az imap pam beállításokat megtenni. Adatbázis használatához a libpam-mysql csomag is szükséges. Ha az adatbázisos felhasználókhoz nincs lokális account, akkor a PAM 'account' metódusát permit-re kell állítani.

host=/var/run/mysqld/mysqld.sock db=shib_idp table=otp service_tokens usercolumn=uid passwdcolumn=password \

<Attribute name="urn:geant:niif.hu:otpservicetoken" id="PHP_AUTH_PW"/>