Comment pouvons-nous vous aider?
Nouveau format d'objet mntner
1) Résumé
Conséquent à la communauté demandez en décembre 2012, l'AFRINIC whois La base de données n'affichera plus les hachages des mots de passe cryptés MD5 et CRYPT dans tous les mntner (whois base de données).
Actuellement, la majorité des objets de l'AFRINIC whois base de données sont protégées et authentifiées par un mécanisme qui utilise des mots de passe en texte clair chiffrés avec l'algorithme md5 pour l'authentification. Il y a deux problèmes majeurs avec cette méthode:
- Le mot de passe haché md5 est traditionnellement visible dans tous les objets mntner. Cela le rend vulnérable aux crackers, étant donné que les ordinateurs sont aujourd'hui équipés d'une puissance de traitement plus que suffisante pour déchaîner ces mots de passe en un temps relativement court.
- Lors de l'exécution d'un whois mise à jour de la base de données, des mots de passe en texte brut sont attachés aux objets à mettre à jour et envoyés par e-mail au whois base de données. Cela introduit la possibilité de renifler le mot de passe au cas où il n'y aurait aucune forme de cryptage entre l'expéditeur, le destinataire et leurs agents de transfert de courrier.
AFRINIC a activé un filtre dans le whois base de données telle que whois les requêtes n'afficheront plus ces hachages. Cela atténue le potentiel pour quiconque d'exécuter un script ou un programme simple qui déchiffrera ces mots de passe, car ils ne sont plus visibles.
2) Mise à jour des objets dans le whois base de données
Il existe essentiellement deux scénarios à considérer:
- Modifier un mntner existant whois objet de base de données, auquel les filtres de hachage sont déjà appliqués.
- Authentification par rapport à un objet responsable pour mettre à jour son objet protégé et création, modification ou suppression d'objets enfants protégés par mnt-lower ou (mnt-domain) de l'objet parent.
2.1) Modifier un objet mntner
Le processus de création d'un nouvel objet mntner reste complètement inchangé. Cependant, une fois créé, la modification et la suppression d'un mntner existant nécessitent que le propriétaire de l'objet ait accès au hachage md5 et / ou CRYPT qui a été utilisé pour créer le mntner en premier lieu si les modifications impliquent d'autres attributs.
Il est donc important que le hachage soit conservé par le propriétaire de l'objet pour une récupération future lors de la mise à jour des objets mntner existants. Vous trouverez ci-dessous des exemples d'objets mntner, montrant le hachage précédemment non filtré dans l'objet du haut, et le nouveau format dans l'objet du bas, montrant les hachages filtrés.
Vous trouverez ci-dessous des exemples d'objets mntner, montrant le hachage précédemment non filtré dans l'objet du haut, et le nouveau format dans l'objet du bas, montrant les hachages filtrés.
Pour modifier un mntner existant:
a) Interrogez l'AFRINIC whois base de données de votre objet, ajoutez le hachage au résultat et envoyez-le au serveur pour mise à jour, comme suit:
- Cliquez sur https://afrinic.net/en/services/whois-query
- Tapez votre objet dans le formulaire de recherche avec l'option "-B" en préfixe, de sorte que les attributs contenant des adresses e-mail ne soient pas filtrés (une mesure par défaut pour lutter contre la collecte d'e-mails).
- La même recherche basée sur le Web peut être utilisée par les amateurs de ligne de commande en tapant ce qui suit (en utilisant un Unix ou Linux whois client):
whois –h whois.afrinic.net –r –B ISP1-MNT - Copiez l'objet dans le corps d'un nouvel e-mail.
- Remplacez le texte "#FILTERED" par votre hachage MD5 précédemment stocké, ajoutez un attribut de mot de passe dont la valeur est votre mot de passe en texte clair et soumettez l'objet par e-mail à auto-dbm@afrinic.net.
b) Si l'e-mail renvoyé par le serveur indique que la mise à jour a échoué, il est possible que le hachage soit erroné (auquel cas une erreur de syntaxe apparaîtra dans le rebond) ou que le mot de passe en texte clair n'était pas correct (ce sera être affiché comme une erreur d'authentification)
c) Dans le cas où vous ne pouvez pas récupérer votre hachage md5 (mais connaissez votre mot de passe en texte brut qui a été utilisé pour générer le hachage), il est possible de régénérez simplement un nouveau hachage du même mot de passe.
Veuillez parcourir le "Outils»de notre site Web, sélectionnez l'outil CRYPT / MD5 Password, entrez votre mot de passe en texte brut et cliquez sur« Générer ».
Le hachage généré peut être copié et collé dans votre objet mntner et soumis pour mise à jour comme d'habitude.
d) Si votre mot de passe est perdu (indépendamment de la disponibilité du hachage md5), il n'est pas possible de mettre à jour l'objet. Vous devez contacter AFRINIC pour le processus standard de mot de passe perdu mntner, par simple mailing hôte@afrinic.net avec une demande de nouveau mot de passe. Veuillez noter que:
- Votre e-mail doit contenir un hachage md5 de votre (nouveau) mot de passe préféré généré à l'étape (c) ci-dessus.
- La demande de changement de mot de passe doit provenir d'un contact autorisé. En cas de changement de contacts, nous demanderons une lettre officielle signée à un cadre supérieur de votre organisation détaillant les nouveaux contacts.
3) Utilisation de l'authentification PGP (au lieu de md5 et CRYPT-PW)
En plus du MD5, l'AFRINIC whois la base de données prend en charge PGP pour l'authentification whois mises à jour de la base de données. Contrairement à MD5, PGP fournit des techniques de chiffrement plus solides et garantit que le message de mise à jour signé n'a pas été falsifié. Cela fonctionne en utilisant une paire de clés générées par l'utilisateur. La clé publique est téléchargée sur le whois base de données à l'intérieur d'un objet de certificat de clé, et les mises à jour par courrier électronique de l'utilisateur sont signées à l'aide de la clé privée sur l'appareil de l'utilisateur.
Depuis la plupart whois les mises à jour de la base de données sont envoyées par e-mail, le seul moyen de garantir la sécurité est d'utiliser PGP, ce qu'AFRINIC recommande vivement à nos membres et à la communauté.
En effet, avec la méthode MD5, les mises à jour soumises par e-mail sont authentifiées par l'utilisateur insérant un mot de passe en texte clair dans le corps de l'e-mail. Malgré l'utilisation de technologies telles que SSL et TLS, AFRINIC n'a aucun contrôle sur toutes les étapes qu'un e-mail passe avant la livraison finale à notre whois serveur.
Combiner différents mécanismes d'authentification
Le whois La base de données prend en charge l'utilisation de plusieurs mécanismes d'autorisation dans un seul objet mntner. Si un objet est protégé par un mntner contenant plusieurs mots de passe md5 et clés PGP, l'un des mots de passe corrects ou des e-mails signés PGP s'authentifiera. L'objet mntner capturé ci-dessous contient deux attributs "auth" pour les mécanismes d'authentification md5 et PGP. L'un ou l'autre des attributs peut être utilisé pour autoriser les mises à jour.
mntner: TOTO-MNT
descr: Maintainer Toto telecom
admin-c: ABC1-AFRINIC
tech-c: DEF1-AFRINIC
upd-to: abc@afrinic.net
mnt-nfy: def@afrinic.net
auth: MD5-PW $1$09nxAH88$ZaDWuXGdly2boQi69atbN.
auth: PGPKEY-476A541E
mnt-by: TOTO-MNT
changed: hostmaster@afrinic.net
source: AFRINIC
4) FAQ: hachages MD5 filtrés
- Pourquoi AFRINIC a-t-il décidé de cacher le hachage MD5?
- Puis-je mettre à jour un objet mntner sans insérer le hachage md5?
- J'ai oublié mon hachage md5.
- Je connais mon mot de passe en texte brut. Comment obtenir mon hachage md5?
- MD5 semble peu sûr. Y a-t-il d'autres options?
- J'ai oublié mon mot de passe. Pouvez-vous le réinitialiser?
- Puis-je toujours créer des affectations client sans connaître le hachage?
- Le rDNS fonctionne-t-il toujours comme avant?
- Comment utiliser PGP avec l'AFRINIC whois base de données?
- Puis-je utiliser simultanément le chiffrement PGP et MD5?
- Comment puis-je obtenir de l'aide supplémentaire?