<div dir="ltr">if you want to test latest trunk i added code that *should* let you auth the vm using the same<br>a1-hash also we added an &quot;md5&quot; api command to mod_commands so you can use it in your own apps.<br><br>
${md5(some data)}<br><br><br><br><div class="gmail_quote">On Mon, Oct 20, 2008 at 4:43 PM, Peter P GMX <span dir="ltr">&lt;<a href="mailto:Prometheus001@gmx.net">Prometheus001@gmx.net</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
I think we can agree that the more passwords are available in clear text<br>
the more problems we will have if a system is compromized. Therefore<br>
it&#39;s common practise to not store passwords in clear text. In our case<br>
we use xml-curl to store the directory data in a database for a<br>
distributed freeswitch network. I simply try to avoid having a database<br>
with clear text passwords. VM-Passwords may not be a bigger problem, but<br>
gateway passwords and conference pins are.<br>
<br>
One way is of course to encrypt the passwords with e.g. OpenSSL/RSA,<br>
store it the database and decrypt it on the fly when it is needed. This<br>
moves the security implementation to the application side with some<br>
backdraws, as passwords can be retrieved with the decryption key and<br>
passwords are transferred through the network (of course via SSL) and<br>
the passwords are in the logs. This is how we do it for the time being.<br>
Another idea, as I propose, is not to store the passwords but hashes.<br>
<br>
To be honest: I do not understand this discussion. It would be wise to<br>
store passwords in an encrypted way. I have seen compromized servers on<br>
the client&#39;s side in the last years and security threats will even<br>
increase in the future. The more we protect our sensible data the safer<br>
the system will be for the future. There is a growing number of<br>
companies in Germany (even the very big ones as Deutsche Telecom) who<br>
recently had to tell their customers that a huge amount of sensible data<br>
was lost.<br>
<br>
I am not asking for doing it right now, but I would love to have it<br>
somehow on the roadmap for the future.<br>
<br>
Best regards<br>
Peter<br>
<br>
Kristian Kielhofner schrieb:<br>
<div class="Ih2E3d">&gt; On 10/20/08, Peter P GMX &lt;<a href="mailto:Prometheus001@gmx.net">Prometheus001@gmx.net</a>&gt; wrote:<br>
&gt;<br>
&gt;&gt; Hello Brian,<br>
&gt;&gt;<br>
&gt;&gt; &nbsp;i have learned im my life that any server can be compromized if anyone<br>
&gt;&gt; &nbsp;uses enough effort to hack it. Thus I simply try to prevent storing<br>
&gt;&gt; &nbsp;passwords in clear text.<br>
&gt;&gt; &nbsp;I am actually trying to setup a secure system with TLS/SRTP and handling<br>
&gt;&gt; &nbsp;clear text passwords didn&#39;t really fit into this concept.<br>
&gt;&gt;<br>
&gt;&gt; &nbsp;Best regards<br>
&gt;&gt; &nbsp;Peter<br>
&gt;&gt;<br>
&gt;<br>
&gt; If your server is compromised and they can read your config files they<br>
&gt; can read the file store, db, etc and have access to everything (VM?)<br>
&gt; that pin would have access to.<br>
&gt;<br>
&gt;<br>
<br>
</div><div><div></div><div class="Wj3C7c">_______________________________________________<br>
Freeswitch-users mailing list<br>
<a href="mailto:Freeswitch-users@lists.freeswitch.org">Freeswitch-users@lists.freeswitch.org</a><br>
<a href="http://lists.freeswitch.org/mailman/listinfo/freeswitch-users" target="_blank">http://lists.freeswitch.org/mailman/listinfo/freeswitch-users</a><br>
UNSUBSCRIBE:<a href="http://lists.freeswitch.org/mailman/options/freeswitch-users" target="_blank">http://lists.freeswitch.org/mailman/options/freeswitch-users</a><br>
<a href="http://www.freeswitch.org" target="_blank">http://www.freeswitch.org</a><br>
</div></div></blockquote></div><br><br clear="all"><br>-- <br>Anthony Minessale II<br><br>FreeSWITCH <a href="http://www.freeswitch.org/">http://www.freeswitch.org/</a><br>ClueCon <a href="http://www.cluecon.com/">http://www.cluecon.com/</a><br>
<br>AIM: anthm<br><a href="mailto:MSN%3Aanthony_minessale@hotmail.com">MSN:anthony_minessale@hotmail.com</a><br>GTALK/JABBER/<a href="mailto:PAYPAL%3Aanthony.minessale@gmail.com">PAYPAL:anthony.minessale@gmail.com</a><br>
IRC: <a href="http://irc.freenode.net">irc.freenode.net</a> #freeswitch<br><br>FreeSWITCH Developer Conference<br><a href="mailto:sip%3A888@conference.freeswitch.org">sip:888@conference.freeswitch.org</a><br><a href="http://iax:guest@conference.freeswitch.org/888">iax:guest@conference.freeswitch.org/888</a><br>
<a href="mailto:googletalk%3Aconf%2B888@conference.freeswitch.org">googletalk:conf+888@conference.freeswitch.org</a><br>pstn:213-799-1400<br>
</div>