nicht angemeldet
Hi Mario,
Also ich bin auch einer der vielen, die gerne ihren Server per .htaccess und .htpasswd schützen wollen.
Hintergrund: Ich hab nu ne DSL Flat und bin da halt logischerweise lange on und möchte nich, dass einer auf meinem WAMP-Server einfach so frei rumrennt, die ganzen Projekte und so und zumal da auch phpMyAdmin drauf is.
an Deiner Stelle würde ich zwei Dinge anders machen:
Ich möchte einfach nur / per .htaccess und .htpasswd schützen.
Wenn es Dein Server ist, dann schreibe Deine Konfiguration direkt in die httpd.conf.
Du gewinnst nichts dadurch, daß Du den Apache-Server dazu zwingst, bei jedem Zugriff eine variable Anzahl von Verzeichnissen immer wieder nach .htaccess-Dateien durchsuchen zu lassen (das ist der Grund dafür, weshalb die Auswertung von .htaccess-Dateien per Default abgeschaltet ist).
... und egaaal, was ich für eine Verschlüsselungsmethode über das htpasswd-Tool
Und eine Kontrolle über ein Passwort würde ich auch nicht verwenden.
Wenn Du schon diese Kontrolle im Apache selbst durchführen willst (und nicht in einer Firewall "weiter vorne"), dann solltest Du dem "Angreifer" überhaupt keine Möglichkeit geben, richtig zu raten, und alles außer Deiner loopback-IP-Adresse 127.0.0.1 ausschließen.
Das ist erstens wirkungsvoller und zweitens auch noch einfacher zu konfigurieren, denn _dafür_ brauchst Du dann keine Authentifizierung und keine Passwort-Datei.
(http://aktuell.de.selfhtml.org/artikel/server/htaccess-faq/#a3)
Viele Grüße
Michael
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.
(sh:| fo:} ch:] rl:( br:^ n4:( ie:% mo:) va:| de:/ zu:| fl:( ss:) ls:~ js:|)
Auch diese Signatur wird an korrekt konfigurierte Browser gzip-komprimiert übertragen.