Re: [LA-discussions] LDAP, LDAPS, TLS,...

[Romain Tartière <romain@xxxxxxxxxxxx>]

On Mon, Jul 12, 2010 at 06:18:33PM +0200, Matthieu wrote:
> Je suis entrain de réinstaller un serveur LDAP. J'aimerai sécurisé un
> minimum les informations présentes dans la base de donnée.
> J'ai donc installé les certificats auto-signé, configuré slapd,...
> 
> Je suis maintenant au test, et je me pose des questions,
> 
> ldapsearch -x -H ldap://serveur.reseau.tux (connexion normal non sécurisé)
> => OK
> ldapsearch -x -H ldaps://serveur.reseaux.tux => OK
> ldapsearch -x -H ldap://serveur.reseau.tux -ZZ => OK
> ldapsearch -x -H ldaps://serveur.reseaux.tux -ZZ => Ne fonctionne pas
> (erreur : ldap_start_tls: Operations error (1))
> 
> La doc donne ceci pour le paramètre -ZZ de ldapsearch :
> -Z         Start TLS request (-ZZ to require successful response)
> 
> Pour résumer :
> Ma connexion LDAP fonctionne en normal et en TLS
> Ma connexion LDAPS fonctionne uniquement sans TLS.
> 
> Mes questions sont les suivantes :
> 
> Faut-il utiliser LDAP+TLS ou LDAPS ?

LDAP+TLS est plus flexible et moins enquiquinant en ce qui concerne le
réseau puisqu'il permet de faire passer une connexion chiffrée ou claire
sur un seul port à ouvrir dans les firewalls.  TLS et SSL c'est presque
la même chose, mais je te laisse consulter une encyclopédie libre pour
plus de détails car je suis certain que ça sera plus complet que c'est
que pourrais dire.

> Comment être sûr que mes connexions LDAPS sont sécurisées ?

Voir ce qui concerne ssf (security strength factor) dans les page de man,
notamment slapd.conf(5) et slapd.access(5).

> TLS est-il incompatible avec LDAPS ou c'est ma configuration qui est
> mauvaise ?
D'un point de vue technique, rien n'empêche d'encapsuler du SSL dans du
SSL mais de là à dire que c'est implémenté dans OpenLDAP…

R

-- 
Romain Tartière <romain@xxxxxxxxxxxx>        http://romain.blogreen.org/
pgp: 8234 9A78 E7C0 B807 0B59  80FF BA4D 1D95 5112 336F (ID: 0x5112336F)
(plain text =non-HTML= PGP/GPG encrypted/signed e-mail much appreciated)

Attachment: pgpSdppxo3sZ5.pgp
Description: PGP signature