Passwörter aus AD auslesen - verschüsselt und nicht zum cracken

[d.pabst 10]

Hallo,

 

wie kann ich aus dem Active Directory die Passwörter auslesen? Ich will die Passwörter nicht in Reinform haben, sondern auch weiterhin verschlüsselt.

 

Sinn und zweck ist es, eine vereinfachtere Benutzerverwaltung von weiteren Anwendungen zu ermöglichen.

 

Zum Beispiel nutzen wir einen Linux-Rechner zur Internetzugangsberechtigung. Wir möchten das AD Passwort, verschlüsselt, übernehmen können und somit mit der einmaligen Eingabe des Benutzer-Passwortes im AD die Berechtigung für das Internet zu ermöglichen.

 

Hat jemand eine Idee, die mir hilft eine Lösung zu finden?

 

Schöne Grüße d.pabst

[Dr.Melzer 191]

Sorry, da wir nicht sicherstellen können, dass du mit den Passwörtern keinen Unsinn anstellst und wir hier auch niemandem Informationen bereitstellen wollen, die dazu helfen können Unsinn damit zu machen (hier lesen ja auch andere Leute mit) muss ich den Beitrag leider schliessen.

 

Vielen Dank für dein Verständnis.

[Lian 2.421]

Hallo d.pabst,

 

das Vorgehen dazu läuft anders.

 

Man meldet sich mit einem (generischen) Account an, der mindestens Leserechte auf die AD hat (LDAP-Auth) und lässt dann die Authentifizierung gegen das Active Directory laufen.

 

Das AD sagt Dir also: Ja, passt.

 

Passwörter werden dabei nie übertragen oder ausgelesen. :)

 

 

Ich öffne den hier vorläufig, fals es weiterhin in die "falsche" Richtung geht, schließe ich oder die anderen Mods oder löschen...

[d.pabst 10]

Danke für die Antworten.

 

 

Sicherheitsrisiko ist verständlich.

 

Muss daher eine andere Variante nutzen. Linux-System mit Zugriff auf die AD. Kollege konnte da schon ein paar Erfahrungen sammeln. Aber die Sicherheitsfrage bleibt auch weiterhin.

 

Aber Danke für die Info, sie ist sehr hilfreich.

 

SG d.pabst

[grizzly999 11]

Eine andere Alternative, aber nur lohnenswert, wenn nicht für den Privatgebauch weil teuer, sind die MetaDirectoryServices von Microsoft, die es ermöglichen Kennwörter in verschiedenen LDAP-Verzeichnissen (MS, UNIX, Novell) abzugleichen. Aber da muss man IMHO Microsoft-beauftragte Consultants direkt ins Boot nehmen.

 

grizzly999

[Lian 2.421]

Für Linux ... hmmm, schau Dir mal die Dinge dazu an, es gibt div. auth_ldap module, für Apache, PHP usw.

 

http://www.rudedog.org/pipermail/auth_ldap/

 

http://www.rudedog.org/auth_ldap/

 

http://docs.akbkhome.com/Auth/Auth_LDAP.html

 

http://www.daasi.de/staff/norbert/thesis/html/node7.html'>http://www.daasi.de/staff/norbert/thesis/html/node7.html

 

Unter Linux generell sollten Dir PAMs helfen, Pluggable Authentication Modules, siehe auch

http://www.daasi.de/staff/norbert/thesis/html/node7.html

 

 

Wenn es "nur" um Authentifizierung geht, würde ich das ein vorhandenes AD erledigen lassen, geht zB. so:

http://www.mcseboard.de/showthread.php?postid=13132#post13132

Warum kompliziert, wenn's auch einfach geht? ;)

 

Ansonsten musst Du auf grizzlys Möglichkeit zurückgreifen, wenn es wirklich ein 100%iger Abgleich sein muss.