Imap LOGINDISABLED (Loesung!)
Christian Barmala
ich habe versucht, den standardmäßig unter SuSE 9.0 installierten IMAP zum
laufen zu bringen. Das scheint wohl der WU-IMAP (a.k.a. imap-2000) zu sein.
Leider gelang es mir nicht auf Anhieb, vom Client (Outlook Express) aus eine
Verbindung herzustellen. Da ich der Meinung bin, dass die Kombination aus
diesem Server und Client keineswegs unüblich ist, möchte ich anderen Usern
meinen Leidensweg ersparen:
1. Empfehlung, /etc/hosts.allow anpassen: Steht zwar in diversen
Usenet-Beiträgen, trifft auf die vorliegende Konfiguration nicht zu
"telnet localhost 143" zeigt:
* OK [CAPABILITY IMAP4REV1 LOGIN-REFERRALS STARTTLS LOGINDISABLED] ...
Wich ich durch Googlen feststellen konnte, ist "LOGINDISABLED"
ein altbekannter Showstopper spätestens seit SuSE 8.2.
/usr/share/doc/packages/imap/ bestätigt, dass das standardmäßige RPM so
kompiliert wurde, dass Plaintext-Passwörter disabled wurden.
2. Empfehlung, /etc/cram-md5 anlegen: "telnet localhost 143" bringt jetzt
... LOGINDISABLED AUTH=CRAM-MD5]. Outlook Express bringt bei unveränderten
Einstellungen den Fehlercode "800cccd1". Wenn ich "Anmeldung durch
gesicherte Kennwortauthentifizierung" (Secure Password Authentication)
wähle, kommt "Die Authentifizierung von CRAM-MD5 ist fehlgeschlagen. Keine
der Authentifizierungsmethoden, die vom IMAP-Server unterstützt werden, wird
von diesem Computer unterstützt." (800cccdf). Die OE Protokolldatei
"Imap4.log" enthält keine weiteren Informationen. Googlen nach oe und
cram-md5 schürt meinen Verdacht, dass OE diese Methode nicht unterstützt.
3. Empfehlung, SSL für imaps einrichten: /usr/share/doc/packages/imap/ nützt
nichts, denn da wird nur auf OpenSSL verwiesen. Glücklicherweise steht unter
http://portal.suse.de/sdb/en/2003/05/imap_ssl.html eine einfache Anleitung.
Zur Sicherheit sollte man prüfen, ob /etc/ssl/certs/imapd.pem nicht nur das
Zertifikat, sondern auch den private Key enthält, sonst gibt's eine
Fehlermeldung in /var/log/mail : "Unable to load private key from
/etc/ssl/certs/imapd.pem". Außerdem nicht vergessen, die in 2.
eingeschaltete "gesicherte Kennwortauthetifizierung" wieder auszuschalten.
Jetzt bekomme ich von OE erwartungsgemäß die Meldung dass das Root
Zertifikat unbekannt ist und akzeptiere diesen Umstand. Achtung: Falls die
unter 2. angelegte cram-md5 noch existiert, das dort genannte Passwort
verwenden, anderenfalls das normale Passwort aus /etc/passwd bzw.
/etc/shadow! Jetzt geht's!
Zweckmäßigerweise legt man im homedirectory der Benutzer, die IMAP benutzen
wollen, ein Verzeichnis namens "IMAP" an und stelld dieses unter OE als
"Pfad des Stammordners" ein.
Statt eines selbstsignierten Zertifikats kann man auch eines von einer CA
verwenden. Wenn man das für alle SSL-Anwendungen macht, braucht man nur
einmal deren Zertifikat zu importieren und nicht jedes selbstsignierte
Zertifikat einzeln zu importieren oder bei jedem Aufruf temporär zu
akzeptieren. www.cacert.org stellt solche Zertifikate KOSTENLOS aus.
Allgmein gehaltene Anleitung unter
https://www.cacert.org/index.php?id=26&prob=7
Christian Barmala