Как зашифровать пароль пользователя в Freeradius

Недавно я установил сервер freeradius и хотел бы изменить пароль пользователя, который сейчас находится в открытом виде, на зашифрованный в файле /etc/freeradius/3.0/users.

Вот так это выглядит на сервере.

Когда я аутентифицируюсь на сервере, я вижу имя пользователя и пароль в /var/log/freeradius/radius.log файл. Как я могу получить его зашифрованным? Я использую Дебиан.

Вкратце,

1. Вам нужно указать формат хэша пароля вместо Открытый текст-пароль, и
2. Вам нужно установить auth_goodpass и auth_badpass на «нет», чтобы предотвратить регистрацию паролей.

Указание формата хэша

Как описано в справочная страница rlm_pap, существует ряд настроек хэша пароля, которые можно использовать вместо Открытый текст-пароль. Возьмем простой пример, MD5-пароль:

#bob Пароль открытого текста := "hello"
Боб MD5-Пароль: = "7d793037a0760186574b0282f2f435e7"
        Ответное сообщение: = "Здравствуйте, %{Имя пользователя}"

Вы можете легко сгенерировать хэш пароля md5, например:

$ эхо -n мир | md5sum | awk '{напечатать $1}'
7d793037a0760186574b0282f2f435e7
$

Когда мы тестируем это на нашем сервере, мы видим, что он аутентифицируется:

$ radtest bob world localhost 1 тестирование123
Отправлено идентификатор запроса доступа 214 от 0.0.0.0:34920 до 127.0.0.1:1812 длина 73
        Имя пользователя = "боб"
        Пароль пользователя = "мир"
        NAS-IP-адрес = 127.0.1.1
        NAS-порт = 1
        Аутентификатор сообщения = 0x00
        Открытый текст-пароль = "мир"
Полученный идентификатор доступа 214 от 127.0.0.1:1812 до 127.0.0.1:34920 длина 32
        Ответное сообщение = "Привет, Боб"

Вы также можете указать свой хэш с помощью универсального Пароль-с-заголовком вариант:

#bob Пароль открытого текста := "hello"
Боб Пароль-с-заголовком := "{md5}7d793037a0760186574b0282f2f435e7"
        Ответное сообщение: = "Здравствуйте, %{Имя пользователя}"

Это имеет тот же эффект, что и MD5-пароль версия сделала. Список принятых заголовков находится на этом rlm_pap справочная страница.

Один из самых интересных доступных заголовков Склеп-Пароль потому что он будет запускать хэши паролей через libcrypt и, следовательно, будет работать с любыми хэшами, которые вы найдете в /и т.д./тень. Например, в системе Debian хэши yescrypt:

bob Crypt-Password := "$y$j9T$2fOq6bdva3zoX6OfH.JvY0$PbUGbp1U.UXFAnGrkDrYnLZEDK.PXO/HXDsBn4mCsM8"
        Ответное сообщение: = "Здравствуйте, %{Имя пользователя}"

(пароль в данном случае а38сгена)

Отключение регистрации паролей

Чтобы отключить регистрацию паролей, найдите auth_goodpass и auth_badpass отбор в рамках radiusd.conf файл:

# Регистрировать пароли с запросами аутентификации.
# auth_badpass - регистрирует пароль, если он отклонен
# auth_goodpass - регистрирует пароль, если он правильный
#
# допустимые значения: {нет, да}
#
auth_badpass = нет
auth_goodpass = нет

Убедитесь, что для них установлено значение «нет», и ваш журнал перестанет включать пароли.

Вот список атрибутов, соответствующих методу хеширования: https://freeradius.org/radiusd/man/rlm_pap.txt

Атрибут заголовка Описание
------ --------- -----------
{clear} Cleartext-Password Открытый текст паролей
{открытый текст} Открытый текст-пароль Открытый текст паролей
{crypt} Crypt-Password Зашифрованные пароли в стиле Unix
{md5} MD5-Password Хэшированные пароли MD5
{base64_md5} MD5-Password Хэшированные пароли MD5
{smd5} SMD5-Password Хешированные пароли MD5 с солью
{sha} SHA-Password SHA1-хешированные пароли
                SHA1-Password Хешированные пароли SHA1
{ssha} SSHA-Password SHA1-хешированные пароли с солью
{sha2} SHA2-Password SHA2-хешированные пароли
{sha224} SHA2-Password SHA2-хешированные пароли
{sha256} SHA2-Password SHA2-хешированные пароли
{sha384} SHA2-Password SHA2-хешированные пароли
{sha512} SHA2-Password SHA2-хешированные пароли
{ssha224} SSHA2-224-Password SHA2-хешированные пароли с солью
{ssha256} SSHA2-256-Password SHA2-хешированные пароли с солью
{ssha384} SSHA2-384-Password SHA2-хешированные пароли с солью
{ssha512} SSHA2-512-Password SHA2-хешированные пароли с солью
{nt} NT-Password Хешированные пароли Windows NT
{nthash} NT-Password Хешированные пароли Windows NT
{md4} NT-Password Хешированные пароли Windows NT
{x-nthash} NT-Password Хешированные пароли Windows NT
{ns-mta-md5} NS-MTA-MD5-Password Хешированные пароли Netscape MTA MD5
{x-orcllmv} LM-Password Хешированные пароли Windows LANMAN
{X-orclntv} NT-Password Хешированные пароли Windows NT

Не забывайте, что протокол и метод, которые вы используете для аутентификации вашего клиента, повлияют на то, какой метод хеширования вы можете использовать.

Вы можете найти таблицу, которую я использовал для настройки своего сервера Freeradius для совместимости протокола и пароля: http://deployingradius.com/documents/protocols/compatibility.html

Чтобы сгенерировать пароль с солью sha256, я использовал следующий скрипт на github (вам нужно отредактировать последние 2 строки, чтобы изменить пароль и соль): https://gist.github.com/bestrocker221/f506eee8ccadc60cab71d5f633b7cc07