Link mit eingebautem Passwort/Username

[Jochen Kubik]

Hallo Leute,

ich habe einige Verzeichnisse via .htaccess mit Passwörter geschützt,
kann ich Links kreieren, die die nötigen Login Angaben schon enthalten sind.
Ich denke da an sowas:
http://www.waswaeissich.de/geschuetzt/index.html&user="ich"&passord="pass"

Gibt es sowas???

Viele Grüße aus Ludwigsburg

[mamue]

ich habe einige Verzeichnisse via .htaccess mit Passwörter geschützt,
kann ich Links kreieren, die die nötigen Login Angaben schon enthalten sind.
Ich denke da an sowas:
http://www.waswaeissich.de/geschuetzt/index.html&user="ich"&passord="pass"

verzeih meine naivität, aber wozu willst du das machen; dann kann ja erst wieder jeder in das verzeichnis hinein; da bräuchtest du ja gar keinen passwortschutz; oder denke ich jetzt zu kurzsichtig?
außerdem kommt nicht nur jeder in das verzeichnis, username und passwort sind dann auch für jedermann zu sehen ...

mfg
mamue

[Jochen Kubik]

Hallo mamue,

verzeih meine naivität, aber wozu willst du das machen; dann kann ja erst wieder jeder in das verzeichnis hinein; da bräuchtest du ja gar keinen passwortschutz; oder denke ich jetzt zu kurzsichtig?
außerdem kommt nicht nur jeder in das verzeichnis, username und passwort sind dann auch für jedermann zu sehen ...

ich verzeihe ;-)

meine Absicht war vielleicht nicht ganz zu durchschauen, natürlich will ich den Link nicht auf eine Webseite einbauen, sondern an berechtigten Personen via mail schicken, und denen damit das lästige eintippen der Abfragen ersparen! ...aber wenn's nicht geht, Pech gehabt!

Viele Grüße aus Ludwigsburg

[mamue]

hallo jochen,

meine Absicht war vielleicht nicht ganz zu durchschauen, natürlich will ich den Link nicht auf eine Webseite einbauen, sondern an berechtigten Personen via mail schicken, und denen damit das lästige eintippen der Abfragen ersparen! ...aber wenn's nicht geht, Pech gehabt!

wie wäre es mit einem ungeschützten verzeichnis, das nicht mit der homepage verlinkt ist und auch sonst nicht so leicht zu erraten ist; wenn die berechtigten personen den link im e-mail anklicken kommen sie dort hin; jemand anders wird dort aber nicht hinkommen, wenn es auch möglich wäre:

etwa www.firma.com/irgendwas/nochmalirgendwas/kunden/

mfg
mamue

[Cheatah]

Hi,

wie wäre es mit einem ungeschützten verzeichnis, das nicht mit der homepage verlinkt ist und auch sonst nicht so leicht zu erraten ist;

das führt die Geschichte ad absurdum. Die URL muss nur bekannt werden - und durch oft sehr kranke Interpretation des Begriffes "Referrer" geschieht das mehr oder minder schnell - und schon existiert kein Schutz mehr.

Cheatah

[Cheatah]

Hi,

ich habe einige Verzeichnisse via .htaccess mit Passwörter geschützt,
kann ich Links kreieren, die die nötigen Login Angaben schon enthalten sind.

die dazu benötigte Syntax ist laut RFC 1738[1] in HTTP-URLs verboten. Das widerspricht auch dem Sinn einer Authentication, wie mamue bereits sagte - daher das Verbot.

Cheatah

[1] http://www.ietf.org/rfc/rfc1738.txt

[myMojito]

Ich hoffe das ich nicht gleich gesteinigt werde!
Der IE bietet eine Möglichkeit Benutzername und Passwort in der URL zu "verstecken":

benutzername:[e-mail]

Wie gesagt: widerspricht zwar allen Regeln, aber wer es meint so machen zu müssen... bitteschön!

Gruß
myMojito

[Cheatah]

Hi,

Wie gesagt: widerspricht zwar allen Regeln, aber wer es meint so machen zu müssen... bitteschön!

verzeih mir bitte mein Geschrei, aber:

TU SOWAS GEFÄLLIGST *AUSSCHLIESSLICH* DANN, WENN DU *EXAKT* 100% *ALLER* CLIENTS, DIE DIESE URL VERWENDEN, STRENG BESTIMMEN KANNST!

Ansonsten bist *Du* nämlich für eventuelle am Netz und darin enthaltener Systeme verantwortlich. Technische Standards nicht einzuhalten grenzt an Kriminalität.

Cheatah

[Cheatah]

Hi,

Ansonsten bist *Du* nämlich für eventuelle am Netz und darin enthaltener Systeme

auftretende Schäden

verantwortlich.

Sorry für den Fehler, aber derartige "Tipps" regen mich einfach auf. Lasst das bitte.

Cheatah

[Jochen Kubik]

Hallo Cheatah,

locker bleiben ;-)

das Beispiel funktioniert (nach kurzem Test) eh nicht, außerdem bin ja noch immer ich der Gelackmeierte, wenn da Leute reinkommen die ich da nich haben will, oder?

Viele Grüße aus Ludwigsburg

[Cheatah]

Hi,

locker bleiben ;-)

nein. Ich sehe nicht einfach zu, wenn jemand eine Schrotflinte auf das Internet richtet.

das Beispiel funktioniert (nach kurzem Test) eh nicht,

Selbst wenn es funktionieren würde, könntest Du das nur für _Dein_ System garantieren. Im Internet ist jedoch _jedes_ System denkbar und erlaubt - wenn sich dieses standardkonform verhält bzw. zufällig nicht über die Fehlerkorrektur(!) Deines Browsers verfügt, sind die Konsequenzen unabsehbar.

außerdem bin ja noch immer ich der Gelackmeierte, wenn da Leute reinkommen die ich da nich haben will, oder?

Dass auch Du direkt Nachteile erfahren kannst, sehe ich hier von Vorteil, da es Dich von diesem Irrsinn abhält.

Cheatah

[Jochen Kubik]

Hallo Cheatah,

kannst Du mir, bevor ich mal versehentlich "eine Schrotflinte auf's Internet richte" mal erklären worum es hier überhaupt geht?
Ich versuche auch mich immer so eng wie möglich am Standard zu bewegen, aber warum ich bei einem Link, den ich exklusiv an 5-10 Leute schicke und der sich vielleicht nicht an den Standard hält gleich das Internet "lösche ;-)" verstehe ich nicht so richtig.

Erkär's mir als ob ich 3 Jahre alt wäre ;-)

nein. Ich sehe nicht einfach zu, wenn jemand eine Schrotflinte auf das Internet richtet.

Viele Grüße aus Ludwigsburg

[Cheatah]

Hi,

kannst Du mir, bevor ich mal versehentlich "eine Schrotflinte auf's Internet richte" mal erklären worum es hier überhaupt geht?

sorry, das war nicht auf Dich bezogen, sondern auf myMojito, der den "Tipp" mit den ungültigen HTTP-URLs nannte. Ich wollte Dir damit nichts unterstellen.

Cheatah

[Jochen Kubik]

Hallo Cheatah,

schon klar, aber was passiert denn jetzt Schreckliches wenn ich so einen Link verschicken würde (falls er funktionieren würde)????

Viele Grüße aus Ludwigsburg
JK

[Cheatah]

Hi,

schon klar, aber was passiert denn jetzt Schreckliches wenn ich so einen Link verschicken würde (falls er funktionieren würde)????

Dein Browser ist in der Lage, eine gültige URL mit zusätzlichen HTTP-Headern draus zu machen. Andere Clients jedoch nicht; sie schicken die URL schlimmstenfalls "as is" durch das Internet. Wenn ein System darin sich auf korrekte URLs verlässt, was der Grund für technische Standards ist, kann es hiervon problemlos beeinträchtigt werden. Abstürze oder sonstige Fehler aller Art - inklusive Datenverluste - sind denkbar.

Cheatah

[Sven Rautenberg]

Moin!

schon klar, aber was passiert denn jetzt Schreckliches wenn ich so einen Link verschicken würde (falls er funktionieren würde)????

Dein Browser ist in der Lage, eine gültige URL mit zusätzlichen HTTP-Headern draus zu machen. Andere Clients jedoch nicht; sie schicken die URL schlimmstenfalls "as is" durch das Internet. Wenn ein System darin sich auf korrekte URLs verlässt, was der Grund für technische Standards ist, kann es hiervon problemlos beeinträchtigt werden. Abstürze oder sonstige Fehler aller Art - inklusive Datenverluste - sind denkbar.

Naja, ganz so dramatisch sollte es nicht sein. Das schlimmste Szenario, was in der letzten dieser Diskussionen skizziert wurde, war, dass die Zugangsdaten im Referrer auftauchen können (bei manchen Browserversionen). _Das_ ist allerdings schlimm, denn damit ist der Zugangsschutz praktisch ausgehebelt.

- Sven Rautenberg

[Cheatah]

Hi,

Naja, ganz so dramatisch sollte es nicht sein.

in der Tat, bisher ist so etwas zumindest noch nicht bis zur Presse vorgedrungen (oder ich habe es nicht mitgekriegt). Es ist der worst case - aber er ist alles andere als ausgeschlossen, im Gegenteil. Die meisten Fehler werden allerdings in der Tat auf Clientseite stattfinden, nämlich bei der Sorte, die nicht unter die Kategorie "Browser" fällt; beispielsweise die Bots "kleinerer" Suchmaschinen.

Gerade diese stellen dann aber auch die größte Gefahr dar, wenn sie nämlich die defekte URL unverändert durch's Netz jagen.

Das schlimmste Szenario, was in der letzten dieser Diskussionen skizziert wurde, war, dass die Zugangsdaten im Referrer auftauchen können (bei manchen Browserversionen). _Das_ ist allerdings schlimm, denn damit ist der Zugangsschutz praktisch ausgehebelt.

Japp. Dann kann es auch gleich ein JavaScript-"Schutz" sein ;-)

Cheatah

[myMojito]

Hallo Cheatah,

ich möchte mich in aller Form für meinen "Tipp" entschuldigen.

Ich sehe das Internet einfach weniger "Engstirnig". Ich kann doch für meine "Zielgruppe" Anwendungen oder Lösungen erstellen, die einfach bestimmte Vorraussetzungen aufsetzen.

Wenn ich also einem engen und bekannten Besucherkreis eine Lösung mitgebe, mit der diese mit bestimmten Browsern Zugang in einen gesperrten Bereich erlaube, kann doch jeder damit Leben, oder?

Ich meine alle anderen Domains und Webserver dieser Welt bleiben doch von diesem "Vergehen" unberührt.

Ich selber biete meinen Kunden auch ein CMS-System an, das bestimmte Features hat welche eben nur der IE bietet. Mit anderen Browsern hat man halt keinen Zugang zum Admin-Bereich (die Ausgabe ist jedoch auch mit anderen Browsern möglich).
Ich hatte noch nie Probleme damit. Da die meisten den IE sowieso als Standardbrowser haben. Die Anderen haben eben den aktuellen IE installieren müssen. Dies haben aber alle in kauf genommen, da die Vorteile die Kunden überzeugten.

Ich meine ich muß es nicht immer der ganzen Welt recht machen! Wenn ich nur eine begrenze Besuchergruppe ansprechen möchte, dann ist es doch mein individuelles Problem und kein globales... oder sehe ich etwas Falsch?

greets
und bitte nicht persönlich nehmen
myMojito

[Cheatah]

Hi,

ich möchte mich in aller Form für meinen "Tipp" entschuldigen.

das ist nicht nötig. Tu's einfach nicht wieder :-)

Ich sehe das Internet einfach weniger "Engstirnig". Ich kann doch für meine "Zielgruppe" Anwendungen oder Lösungen erstellen, die einfach bestimmte Vorraussetzungen aufsetzen.

Wenn Du in einem Intranet arbeitest, kannst Du sicher sagen, welche Software verwendet wird - _nur_ dann kannst Du abwägen, ob standardwidersprechende Dinge einen Schaden anrichten oder nicht. Im Internet hingegen _musst_ Du mit jeder Form der Technik rechnen und _musst_ daher davon ausgehen, dass Schaden möglich ist.

Eine Zielgruppe hat sich noch nie durch Technik definiert und wird es auch nie tun.

Wenn ich also einem engen und bekannten Besucherkreis eine Lösung mitgebe, mit der diese mit bestimmten Browsern Zugang in einen gesperrten Bereich erlaube, kann doch jeder damit Leben, oder?

"Funktioniert nicht" besteht hier nicht aus "jemand kann's nicht nutzen", sondern aus "Schaden an im Internet bestehenden Systemen ist nicht ausgeschlossen".

Ich meine alle anderen Domains und Webserver dieser Welt bleiben doch von diesem "Vergehen" unberührt.

Das Netz besteht nicht nur aus HTTP-Servern und Browsern. Es gibt weitaus mehr dazwischen, und mindestens am letztgenannten Ende sind auch andere Dinge möglich (Clients sind ein weites Feld, Browser sind nur _eine_ Ausprägung davon).

Ich selber biete meinen Kunden auch ein CMS-System an, das bestimmte Features hat welche eben nur der IE bietet.

Dann gibst Du diesen Kunden eine Vorgabe, das ist okay (wenn auch nicht besonders kundenfreundlich), solange jeder andere schlicht und ergreifend von der Nutzung abgehalten wird. Etwas technisch defektes wie eine HTTP-@-URL kann jedoch von jeder denkbaren Client-Art durch jedes denkbare System gejagt werden - das ist nicht okay.

Ich hatte noch nie Probleme damit.

Das war noch nie ein Argument.

Ich meine ich muß es nicht immer der ganzen Welt recht machen!

Noch einmal: Es geht hier nicht um den Endbenutzer. Oft ist es nicht mal ein Mensch, der eine URL verwendet - und das _Ziel_ derselben _ist_ die ganze Welt.

Wenn ich nur eine begrenze Besuchergruppe ansprechen möchte,

...triffst Du trotzdem eine Suchmaschine. Nur als Beispiel.

und bitte nicht persönlich nehmen

Da muss schon deutlich mehr für geschehen :-)

Cheatah

[myMojito]

Hi Cheatah,

Bist ja doch nicht ganz so verbohrt wie aich gedacht habe ;-)

Ich geb' Dir ja im Grundsatz recht, wobei ich einfach nicht immer vom "worst case" ausgehe... aber is ja auch egal!

Zu dem Thema fällt mir aber etwas anderes ein:
1&1 Puretec wirbt ja seit geraumer Zeit mit sogenannten @-Domains! Da ich solche @-Domains schon schlimm finde, muß es für dich ja die größte Peinigung überhaupt sein!
Soweit ich es Verstehe nutzen Puretec ja das gleiche "Phänomen" wie das gerade diskutierte Thema.

so long
myMojito

[Cheatah]

Hi,

Bist ja doch nicht ganz so verbohrt wie aich gedacht habe ;-)

und dabei geb ich mir so viel Mühe, das zu verbergen ;-)

Ich geb' Dir ja im Grundsatz recht, wobei ich einfach nicht immer vom "worst case" ausgehe... aber is ja auch egal!

Dann bist Du kein Informatiker.

1&1 Puretec wirbt ja seit geraumer Zeit mit sogenannten @-Domains!

Ja; und ich finde, man sollte sie dafür verklagen. _Leider_ gibt es keine Netzpolizei, die die Grenzen der Freiheiten im Netz sichert: die Einhaltung der technischen Standards.

Da ich solche @-Domains schon schlimm finde, muß es für dich ja die größte Peinigung überhaupt sein!

Am übelsten dabei finde ich, dass sie sich mit RFC 1738, der eben dies verbietet, rechtfertigen - sie verweisen auf einen Absatz, der ein "@" in der URL zwar prinzipiell erlaubt, aber schlicht und ergreifend bedeutungsfrei für das Problem ist, weil er den grundsätzlich möglichen Aufbau von URL-Schemata definiert, nicht aber den des HTTP-Schemas.

Soweit ich es Verstehe nutzen Puretec ja das gleiche "Phänomen" wie das gerade diskutierte Thema.

Ja.

Cheatah

[Michael Schröpl]

Hi myMojito,

Wenn ich also einem engen und bekannten Besucherkreis
eine Lösung mitgebe, mit der diese mit bestimmten
Browsern Zugang in einen gesperrten Bereich erlaube,
kann doch jeder damit Leben, oder?

warum sendest Du diesem Benutzerkreis nicht Benutzerkennung und Passwort in einer E-Mail?

Viele Grüße
      Michael