Je connais pas la config de Yunohost et j'ai pas trouvé dans les sources de config spécifique pour slapd, j'en conclus que le mot de passe est hashé avec l'algorithme par défaut de openldap/Debian, c'est à dire SSHA, autrement dit du SHA1 salé.
C'est mieux que du SHA1 grâce au sel, cela dit j'ai pas pu trouver de manière convaincante dans mes recherches si c'est équivalent à du SHA256 ou SHA512 pour la robustesse.
Openldap ne supporte que quelques algos de chiffrement pour les mots de passe:
- {SHA}: SHA1 classique
- {SSHA}: SHA1 salé avec le sel concaténé après le hash
- {MD5}: MD5 classique
- {SMD5}: MD5 salé avec le sel concaténé après le hash
- {CRYPT}: standard unix qui peut être propre au système sur lequel il tourne (man 3 crypt)
Si j'ai bien compris, le fait que {SSHA} soit l'algorithme par défaut dans Openssl est du au fait que c'est le moins pire dans les algos portables. {CRYPT} peut être mieux dans certains cas mais pas partout, et ne garantit par la portabilité, voire n'est pas présent sur tous les systèmes supportés par OpenLdap.
[^] # Re: Mot de passe en md5 ?
Posté par Babelouest (site web personnel) . En réponse au journal Retour d'expérience Yunohost. Évalué à 3.
Je connais pas la config de Yunohost et j'ai pas trouvé dans les sources de config spécifique pour slapd, j'en conclus que le mot de passe est hashé avec l'algorithme par défaut de openldap/Debian, c'est à dire SSHA, autrement dit du SHA1 salé.
C'est mieux que du SHA1 grâce au sel, cela dit j'ai pas pu trouver de manière convaincante dans mes recherches si c'est équivalent à du SHA256 ou SHA512 pour la robustesse.
Openldap ne supporte que quelques algos de chiffrement pour les mots de passe:
- {SHA}: SHA1 classique
- {SSHA}: SHA1 salé avec le sel concaténé après le hash
- {MD5}: MD5 classique
- {SMD5}: MD5 salé avec le sel concaténé après le hash
- {CRYPT}: standard unix qui peut être propre au système sur lequel il tourne (man 3 crypt)
Si j'ai bien compris, le fait que {SSHA} soit l'algorithme par défaut dans Openssl est du au fait que c'est le moins pire dans les algos portables. {CRYPT} peut être mieux dans certains cas mais pas partout, et ne garantit par la portabilité, voire n'est pas présent sur tous les systèmes supportés par OpenLdap.