Module pw-argon2
Ce module permet à OpenLDAP de supporter les types de hash de mot de passe ARGON2.
Ce module est fourni dans le paquet
slapd-contrib dans Debian (à partir de Buster via les backports).
Installation
Il faut simplement charger le module pw-argon2 :
ldapmodify -Y EXTERNAL -H ldapi:/// << EOF dn: cn=module{0},cn=config changetype: modify add: olcModuleLoad olcModuleLoad: pw-argon2 EOF
Depuis OpenLDAP 2.5, le module a été renommé
argon2 : ldapmodify -Y EXTERNAL -H ldapi:/// << EOF dn: cn=module{0},cn=config changetype: modify add: olcModuleLoad olcModuleLoad: argon2 EOF
Utilisation
Une fois le module chargé, les mots de passe de type ARGON2 sont supportés comme les autres types de hash : les valeurs des attributs doivent être préfixées du type de hash, par exemple :
{ARGON2}$argon2i$v=19$m=4096,t=3,p=1$D5loKjRl6BS9e8hnv0W7Pw$2e0FrS729j1q/BOpI/Qf3G+gs90SBscV6ZEd7rkdnvA
Pour hasher un mot de passe avec l'outil CLI
slappasswd, il est nécessaire de charger explicitement ce module :
slappasswd -o module-load=pw-argon2 -h '{ARGON2}'
Un alias peut facilement être automatisé cela:
alias slappasswd='slappasswd -o module-load=pw-argon2 -h "{ARGON2}"'
Pour que les mots de passes hashés automatiquement par OpenLDAP (lors d'une modification via LDAP Password Modify Extended Operation ou accord par l'overlay ppolicy) soient en ARGON2, ajouter l'attribut
olcPasswordHash: {ARGON2} dans l'objet olcDatabase={-1}frontend,cn=config.