java - 如何使用 JNDI 和 Digest-MD5 向 LDAP 进行身份验证

Question

我正在尝试使用 DIGEST-MD5 加密对我的 LDAP 服务器进行身份验证。使用简单加密时它工作得很好，但由于显而易见的原因，我无法通过网络以纯文本形式发送密码。奇怪的是，在使用 Softerra LDAP 浏览器时，我可以使用 Digest-MD5 连接到服务器，但是通过我的代码，我收到了一系列错误。

这是我的 LDAP 身份验证类中的一段代码，我在其中尝试在创建初始上下文之前设置安全身份验证等。

Hashtable env = new Hashtable(11);
env.put(Context.SECURITY_AUTHENTICATION, "DIGEST-MD5");
env.put(Context.SECURITY_PRINCIPAL, username);
env.put(Context.SECURITY_CREDENTIALS, password);
env.put(Context.PROVIDER_URL, ldapURI);
env.put(Context.INITIAL_CONTEXT_FACTORY, context);
env.put("com.sun.jndi.ldap.trace.ber", System.out);
try{
    DirContext ctx = new InitialLdapContext(env,null);
} Catch (NamingException e){
    e.printStackTrace();
}

Answer 1

我的回答并没有回答你的问题，而是纠正了一个误解:在 BIND 请求中使用 SASL DIGEST-MD5 机制需要目录服务器能够访问用户的密码。为了使目录服务器能够访问密码，密码必须以明文形式存储或使用可逆密码方案进行加密。可逆密码方案本质上不如加盐 SHA 哈希安全，尤其是具有长摘要的加盐 SHA-2 哈希。因此，将 SASL 与 DIGEST-MD5 结合使用不如通过安全连接使用简单的 BIND 请求安全，其中安全连接是从一开始就通过 SSL 加密的连接或提升为安全连接的非安全连接StartTLS 扩展操作，安全性低于 SASL EXTERNAL 机制或 Kerberos。

误解是“以纯文本形式通过网络发送密码”的概念并不安全，而实际上，使用加盐 SHA-2 哈希将密码存储在目录服务器中(现代专业质量的目录服务器具有使用具有较长摘要长度的加盐 SHA-2 散列的能力)并通过安全连接传输明文密码比让目录服务器以明文或可逆加密方案存储密码更安全.因此，应避免使用带有 DIGEST-MD5 的 SASL。具有 EXTERNAL 机制的 SASL 是一个更好的选择，其中服务器从建立加密 session 期间提供的证书中提取身份验证信息。 Kerberos 也是一个更好的选择。如果服务器在使用加盐 SHA 算法散列密码后存储密码，则网络上的纯文本也更安全。。

如果将 SASL 与 DIGEST-MD5 一起使用是绝对重要的，那么目录服务器应该配置为使用可用的最强加密方案来加密密码，除非我弄错了，否则就是 AES。专业品质的服务器可以使用 AES 加密密码。