Kein Passwort nötig bei Neu-Besuch eines geschützten Bereiches

[Hugo]

Wenn man ein (mit .htaccess & .htpasswd) passwort-geschütztes Verzeichnis verlässt, kann man später ohne erneute Anmeldung wieder hineingehen, auch wenn man zwischendurch Cache, Cookies und History im Browser gelöscht hat. Das ist also ein Sicherheitsrisiko bei Mehrbenutzersystemen (z.B. Büro, Internet-Café)!

Woran liegt das? Wo werden Name und Passwort zwischengespeichert?

Wie erreicht man, dass bei JEDEM erneuten Besuch eines geschützten Verzeichnisses Name und Passwort wieder abgefragt werden?
Gibt's da irgendeinen Trick mit Perl oder Javascript?

[Jens Peter]

Hi,

Gibt's da irgendeinen Trick mit Perl oder Javascript?

Ich glaube es geht einfacher. Einfach mal den Browser schließen.

HTH
Jens

[Hugo]

Hi,

Gibt's da irgendeinen Trick mit Perl oder Javascript?
Ich glaube es geht einfacher. Einfach mal den Browser schließen.

Das kann man aber z.B. in einem Internet-Café oft nicht machen, daher suche ich einen Trick mit Sofortwirkung.

H.

[Henryk Plötz]

Moin,

Das kann man aber z.B. in einem Internet-Café oft nicht machen, daher suche ich einen Trick mit Sofortwirkung.

Gibt es nicht, zumindest nicht bei HTTP Authentication und jedem Browser (einige bieten eine Extrafunktion dafür an). Ein beliebter Trick um serverseitig eine Ausloggfunktion bereitzustellen, besteht darin einmal einfach so eine 401 Antwort zu senden, auch wenn das Passwort richtig war. Viele (== die meisten) Browser vergessen dann das eingegebene Passwort und fordern ein Neues an, aber nicht einmal darauf kann man sich verlassen (ich habe auch schon erlebt, daß ein Browser das Passwort einfach wieder hervorgezaubert hat, nachdem er es zunächst vergessen zu haben schien).

Die einzige richtige und vorgesehene Methode ist es in der Regel den Browser zu beenden. Wenn das nicht geht, dann suchst du dir lieber einen Laden mit kompetenteren Leuten.

--
Henryk Plötz
Grüße aus Berlin

[Hugo]

Moin Henryk

Das kann man aber z.B. in einem Internet-Café oft nicht machen, daher suche ich einen Trick mit Sofortwirkung.

Gibt es nicht, zumindest nicht bei HTTP Authentication und jedem Browser (einige bieten eine Extrafunktion dafür an).

Was denn für eine Extrafunktion & wie könnte man diese eventuell
aktivieren?

Ein beliebter Trick um serverseitig eine Ausloggfunktion bereitzustellen, besteht darin einmal einfach so eine 401 Antwort zu senden, auch wenn das Passwort richtig war.

Super! Das ist ja ein geiles Täuschungsmanöver.
Auf unserer Website haben wir nämlich eine eigene (ebenfalls .htacess-gesteuerte) Fehler-Abfangseite gebastelt. Dann braucht man im geschützten Verzeichnis als index.htm einfach die gleiche Abfangseite, nur ergänzt um einen versteckten Link (mit dem man dann seine wirklich geheimen Seiten drankommen)

Viele (== die meisten) Browser vergessen dann das eingegebene Passwort und fordern ein Neues an, aber nicht einmal darauf kann man sich verlassen (ich habe auch schon erlebt, daß ein Browser das Passwort einfach wieder hervorgezaubert hat, nachdem er es zunächst vergessen zu haben schien).

Die einzige richtige und vorgesehene Methode ist es in der Regel den Browser zu beenden. Wenn das nicht geht, dann suchst du dir lieber einen Laden mit kompetenteren Leuten.

Das ist sowieso das Beste ...

Danke & schönen Gruß von Darmstadt nach Berlin! H.

[Henryk Plötz]

Moin,

Gibt es nicht, zumindest nicht bei HTTP Authentication und jedem Browser (einige bieten eine Extrafunktion dafür an).

Was denn für eine Extrafunktion & wie könnte man diese eventuell
aktivieren?

Na eine die genau macht was du willst. Der einzige Browser der sowas hat und mir auf Anhieb einfällt ist Lynx. Da gibt es "Clear all authorization info for this session" mit dem Tastaturshortcut _ und wenn man die Taste drückt hat der Browser (nach einer Sicherheitsabfrage) alle Passwörter für HTTP Authentication vergessen.

[ich]

Tag!

Der einzige Browser der sowas hat und mir auf Anhieb einfällt ist Lynx.

Mozilla: Tools>Password Manager>Log Out

Hab ich aber noch nie Benutzt und daher weis ich nicht, ob dass das ist, was ich vermute.

bye
ich

[Henryk Plötz]

Moin,

Mozilla: Tools>Password Manager>Log Out

Hab ich aber noch nie Benutzt und daher weis ich nicht, ob dass das ist, was ich vermute.

Ich habe das erst vor kurzem probiert und es ist nicht das, was du vermutest ;)  Soweit ich verstanden habe, benutzt du das, wenn du dir ein Masterpassword für deine gespeicherten Daten angelegt hast und gerne möchtest dass Mozilla dich wieder danach fragt, wenn er es braucht. (Normalerweise brauchst du es nämlich nur einmal pro Sitzung bzw. einstellbarem Zeitintervall eingeben.)