Защита пользовательских паролей

[urello]

Сабж. Есть ли возможность не хранить юзерские пароли в открытом виде? Гуглеж по теме ничего не дал. версия * 11.4
Почитал про astdb и ничего не понял, в примерах ее используют как угодно, но только не для лукапа паролей.

[Vlad1983]

md5secret

[tma]

md5 не спасет, к сожалению.
Вот несколько ссылок на тему md5:
PlayStation 3 ускоряет перебор MD5 в 100 раз
Массовая генерация md5 хешей и поиск по ним

"Скорость подбора(генерация + сравнение) MD5 программой egb на видеокарте
ценой до 10 т.р. составляет от 600 млн. до 1 млрд. хешей в секунду."

то есть 10-20 секунд..

Ну и по теме взломов SIP в частности:
Поиск устройств и взлом в VoIP-сетях
Attacking Authentication
Смысл в том, что по md5-хэшу зная алгоритм можно достаточно легко восстановить пароль.

Ну до кучи:
Подбор 14 символьного сложного пароля за 5 секунд

[Vlad1983]

лучше уж так, чем в открытом виде

[urello]

возможно ли вобще не хранить пароли в sip.conf?

[ded]

Возможно.
Например - в базе mysql, и использовать её в режиме real time - http://asterisk.ru/knowledgebase/Asterisk+RealTime

[tma]

Можно еще работать по IP - никаких тебе паролей.
А у real-time есть свои проблемы, в частности с отображением пиров по sip show peers.

[zzuz]

Не знаю никаких проблем с отображением пиров в работе с extconfig.

[tma]

Ok, авторы знают, а zzuz не знает. Может мы юзаем разные ветки asterisk'ов?
У меня версия 1.8.20.0 не кажет после sip reload. В интернете везде пишут, что ничего не попишешь.
Может zzuz подскажет, что можно подкрутить, кроме исходников, чтобы заработало?
P.S. Ставил digium-сборку, в десятке чего-то не хватало, но судя по комментариям, ничего так и не решили (что и не удивительно).

[zzuz]

после sip reload система действительно не знает о пирах , пока не отправит OPTIONS или устройство не пришлет REGISTER. Но кто ж мешает это сделать и закешировать результат?