htaccess - Passwordeingaben überwachen

[Stefand]

Hallo Leute!

Ist es möglich alle Password-Eingaben die irgendjemand macht in einer LogFile (evtl. mit Uhrzeit und Datum und IP) zu protokollieren?

Bis jetzt habe ich immer in der ServerLog geschaut und geschaut, wo sich einer mit einem usernamen eingeloggt hat. Aber dann habe ich nicht dijenigen, die ein falsches Password / Username eingegeben haben.

Kann mir vielleicht bei der Gelegenheit auch sagen, wie ich eine Art logout aus dem htacces-geschützten bereich machen kann? (Vielleicht mit TimeOut? oder ähnlichem?)

Gruss und Danke!
Stefan

[Christian Seiler]

Hallo Stefan,

Ist es möglich alle Password-Eingaben die irgendjemand macht in einer LogFile (evtl. mit Uhrzeit und Datum und IP) zu protokollieren?

Jedesmal, wenn ein 401er geschickt wird, dann hat jemand

a) gar keine Zugangsdaten mitgeschickt
b) falsche Zugangsdaten mitgeschickt

das zu trennen ist glaube ich unmöglich. (und der Fall a tritt fast immer auf, wenn man auf die Seite geht)

Kann mir vielleicht bei der Gelegenheit auch sagen, wie ich eine Art logout aus dem htacces-geschützten bereich machen kann? (Vielleicht mit TimeOut? oder ähnlichem?)

Nein - das ist das Problem bei der HTTP-Authentifizierung. Wenn Du einen Logout brauchst, dann könntest Du u.U. ganz sehr tricksen (trotz richtiger Authentifizierungsdaten einen 401er senden o.ä.) aber einen wirklichen Logout erreichst Du nur über schließen des Browsers. Überlege Dir, ob andere Verfahren (Sessions) für Dich nicht besser geeignet sind.

Grüße,

Christian