Kerberos Authentication an Imap Account - Problem nach 10.6 Update

[ralf1070]

Hallo,

Ich hab das folgende Thema schon mal in "Kurze Frage - kurze Antwort" gehabt. Leider scheint es da ein wenig unterzugehen. Ich hoffe, dass das Thema hier besser aufgehoben ist. Also noch mal:

Nach dem Update von 10.5 auf 10.6.1 hat Apple Mail Probleme sich per GSSAPI (MIT Kerberos 5) an einem Imap Account (cyrus-imapd) zu authentifizieren. Authentication per Password geht - ist aber in einer Single-Sign-On Umgebung unangemessen.

Dass Apple die Kerberos-Helper Applikation durch den wesentlich weniger mächtigen Ticket-Viewer ersetzt hat hab ich mitbekommen. Kerberos-Ticket besorgen geht. z.B. ssh kann sich mit dem Ticket authentifizieren.

Wenn bei Apple Mail GSSAPI Authentication eingestellt ist, wird wenn nötig nach dem Kerberos Password gefragt und auch ein Ticket besorgt (kann man im Ticket-Viewer dann begutachten). Danach schlägt aber offensichtlich die Authentication mit diesem Ticket fehl und Mail versucht einen Fallback auf Klartext Passwort. Das geht aber offensichtlich auch schief, da diese Abfrage dann alle paar Sekunden erfolgt und keine Mails abgeholt werden.

Der Imap Server quitiert einen Login Versuch übrigens mit:
badlogin: host.mydomain.com [192.168.0.1] GSSAPI [SASL(-13): authentication failure: GSSAPI Failure: gss_accept_sec_context]

Den IMAP Server hab ich unter Kontrolle - falls also jemandem Diagnosen einfallen, die Zugriff auf den Mail-Server erfordern - kein Problem.

Soweit das was ich weiss - hat jemand von euch eine Idee was man an der Situation ändern könnte?

Danke Ralf

 

[ralf1070]

Update.

So wie es aussieht, hängt das Problem damit zusammen, dass der smtp-Server und der imap-Server hier auf dem selben Rechner laufen aber jeweils über einen eigenen DNS-Namen ansprechbar sind. smtp.domain.org und imap.domain.org - wobei imap.domain.org ein Alias für smtp.domain.org ist. Verbindet man sich nun mit dem imap-Server via imap.domain.org schlägt die Authentifizierung via Kerberos fehl, gibt man smtp.domain.org als imap-Server an gibt es zwar eine TLS Warnung (Hostname für SSL Zertifikat stimmt nicht mit DNS Name überein) aber zumindest die Kerberos Authentifizierung funktioniert. Der Vorteil bei der TLS Warnung ist, dass man sie übergehen kann ...

Na wie auch immer - das ist noch keine schöne Lösung für das Problem aber zumindest geht es jetzt schon mal ein wenig besser als vorher.