.htpasswd file auf nem anderen server?

[Alain]

Nabend ,
Ich wollte mal die apache profies fragen ob es möglich wär für einen geschützen Bereich
das passwort file auf einen anderen server zu schicken?
Wenn ja ,müsste man dann für den pfad das http://www.andererserver.de/.htpasswd
verwenden?
Im normalfall sind die .htpassfile ja auf dem selben server dessen unterverzeichniss geschütz werden soll.

Grüsse vom Alain

[Christian Kruse]

Hallo Alain,

Ich wollte mal die apache profies fragen ob es möglich wär
für einen geschützen Bereich das passwort file auf einen
anderen server zu schicken?

Nein, das ist nicht moeglich.

Gruesse,
 CK

[Sven Rautenberg]

Moin!

Ich wollte mal die apache profies fragen ob es möglich wär
für einen geschützen Bereich das passwort file auf einen
anderen server zu schicken?

Nein, das ist nicht moeglich.

"Und das ist auch gut so"[tm]. Denn ansonsten käme ja jeder, der die URL zur Passwortdatei kennt/errät/zufällig mitkriegt, an die Passworte ran. Das sollte man aber unbedingt vermeiden, denn auch Einweg-verschlüsselte Passworte sind nicht unknackbar.

- Sven Rautenberg

[Michael Schröpl]

Hi Alain,

Ich wollte mal die apache profies fragen ob es möglich wär für einen geschützen Bereich
das passwort file auf einen anderen server zu schicken?

ja - aber wahrscheinlich nicht so, wie Du Dir das vorstellst.

Wenn ja ,müsste man dann für den pfad das http://www.andererserver.de/.htpasswd
verwenden?

Aha - Deine Vorstellung beginnt, konkreter zu werden: Du setzt als Zugriffsprotokoll HTTP voraus.
Ab hier kann ich Deine Frage mit "nein" beantworten ...

... jedenfalls sofern Du keine auf Deinen Zweck optimierte Software einsetzt.
Apache unterstützt an dieser Stelle allerdings die Einbindung bestimmter Fremdprodukte, welche alternativ zu den Authentifizierungsverfahren unter Verwendung von lokalen Dateien auch andere Quellen der entsprechenden Informationen erlauben - beispielsweise Datenbanken.
Wenn nun also eine solche allgemeine Schnittstelle existiert, über welche Dein Authentifizierungsprogramm an die entsprechende Information gelangen kann, dann wäre es durchaus denkbar, daß dieses Programm eine Kommunikationsverbindung zu einem entsprechenden zentralen Authentifizierungs-Server aufbaut und sich von dort die entsprechenden Informationen holt.
Ich weiß nicht wirklich, wie beispielweise LDAP funktioniert, aber ich glaube, das ist eine Umsetzung genau des Prinzips, welches ich gerade zu skizzieren versucht haben.

Im normalfall sind die .htpassfile ja auf dem selben server dessen unterverzeichniss geschütz werden soll.

Richtig - weil der normale Zugriffsmechanismus des entsprechenden Apache-Moduls einer ist, der davon ausgeht, Dateien über Pfadnamen adressieren zu können.
HTTP kennt weder Dateien noch Pfadnamen, sondern nur Ressourcen und URLs - deshalb ist es für diesen Einsatzzweck nicht verwendbar.

Was ist denn genau das Ziel Deiner Frage? Es gibt durchaus andere Protokolle, mit denen verschiedene Server untereinander kommunizieren können (Einblendung von Verzeichnisbäumen in andere Maschinen über diverse Protokolle wie NFS oder SMB) ... vielleicht kannst Du Dein Problem so detailliert beschreiben, daß sich doch eine Lösung finden läßt.

Dein Bedarf, zwischen der Speicherung und der Prüfung der Authentifizierung zu trennen, erscheint mir jedenfalls _nicht_ grundsätzlich sinnlos.

Viele Grüße
      Michael

[Alain]

hallo Michael,

Was ist denn genau das Ziel Deiner Frage? Es gibt durchaus andere Protokolle, mit denen verschiedene Server untereinander kommunizieren können (Einblendung von Verzeichnisbäumen in andere Maschinen über diverse Protokolle wie NFS oder SMB) ... vielleicht kannst Du Dein Problem so detailliert beschreiben, daß sich doch eine Lösung finden läßt.

Dein Bedarf, zwischen der Speicherung und der Prüfung der Authentifizierung zu trennen, erscheint mir jedenfalls _nicht_ grundsätzlich sinnlos.

Viele Grüße
      Michael

Der zweck vom ganzen war,
dass ich irgendwo gelesen habe,
dass es erstens sicherer wäre,
 wenn das passfile auf einem anderen server wäre und zweitens,
wollte ich einfach ein fake htpassword file setzten
 auf einem anderen server,
damit nicht berechtigte user (hacker) was zum finden haben,
mit dem sie nichts anfangen können.
Berechtigte user die sich über das login-box,
 das über einen anderen server läuft und per cgi funktioniert,
 haben kein problem, sich dann in mein server einzu wählen ,wo sie
eben nochmal das user pass eingeben müssen per htaccess.
Das passfile die passwörter werden übrigens vom anderen server generiert übertragen auf meinen server ebenfalls durch ein cgi
das auf meinem server liegt.
Im allgemeinen benutzen die meisten seiten diesen pfad www.seite.com/member/index.html
für geschützte bereiche,was bei mir aber nicht der fall ist.
Das hat den Vorteil,dass nicht berechtigte user erstmal den pfad finden müssen,
z.B. www.seite.com/XCvweR12R/index.html um darauf rum zu hacken.Dafür gibts ja programme,wie Du sicher weisst.
Ich weiss nicht ob Du mich jetzt verstanden hast,aber ich glaube das Problem wurde gelöst.
Grüsse vom Alain