security - 您的密码在LDAP中的安全性如何？

Question

如果密码存储在LDAP而不是数据库或加密文件上，是否以任何方式更安全？

Answer 1

密码以哈希字符串的形式存储在LDAP目录中。例如，OpenLDAP支持盐腌SHA1 {SSHA}，crypt {CRYPT}（取决于OS），MD5 {MD5}，盐腌MD5 {SMD5}和SHA1 {SHA}的方案。我认为Active Directory服务器存储某种LM哈希和/或NT哈希。

鉴于这一事实，将密码存储在LDAP目录中并不比将散列的密码（假定相同的散列）存储在文件或SQL数据库中安全。可以直接访问基础数据结构的每个人都至少可以读取哈希密码值（如果未在文件文件系统基础上对数据进行额外加密）。

确定使用LDAP还是其他类型的帐户存储机制的决定肯定不会基于密码存储的安全性这一事实。该决定将基于身份验证的完成方式以及您必须满足的其他要求。当您必须将不同的客户端连接到中央身份验证系统（例如专有软件，电子邮件服务器），或者必须将其集成到某些KERBEROS或SASL身份验证方案中时，LDAP会派上用场。