Authentifizierung

[donroca]

Hallo alle,

mal eine Frage aus Neugierde.
Ich erinnere mich an einen Kollegen, der seine Bookmarks fuer das Intranet etwa in der Form
user:password@domain (oder so aehnlich)
abgelegt hatte.
Ein bekanneter Fall, wo das auch so gemacht wurde, ist der gefaelschte Artikel 'RTFM' in der vermeintlichen MS-Knowledgebase.
Ich habe versucht, das Beispiel auf meinem Apache Server mit .htaccess nachzuvollziehen, funktioniert aber nicht.
Weiss von Euch jemand, wie und unter welchen Bedingungen dieser 'Trick' funktioniert?

Dieter

[Cheatah]

Hi,

Weiss von Euch jemand, wie und unter welchen Bedingungen dieser 'Trick' funktioniert?

der 'Trick' der ungültigen HTTP-URL funktioniert dann, wenn a) der Client sie in eine gültige URL mit entsprechenden Authentication-Headern umsetzt, und wenn b) der Server diese Header auswertet (s. dazu den Feature-Artikel zur Serverkonfiguration von Michael Schröpl). In einem Intranet ist das durchaus praktikabel; außerhalb eines solchen natürlich nicht.

Cheatah

[Sven Rautenberg]

Moin!

In einem Intranet ist das durchaus praktikabel; außerhalb eines solchen natürlich nicht.

Gerade in einem Intranet mit Passwortschutz muß man sich doch fragen (und der Mitarbeiter wird das als peinliches, wenn nicht gar hochnotpeinliches Verhör empfinden - vollkommen zu Recht übrigens :) ), warum jemand den Passwortschutz durch bedienungsleichtes Abspeichern des Klartextpasswortes für seine Mitarbeiter und fremde Besucher, die Zugriff auf den Rechner erlangen können, so leicht umgehbar macht.

Andererseits: Diverse Passwortmanager in Browsern sind nicht unbedingt besser - man muß nur das vorausgefüllte Formular nochmal extra abschicken.

- Sven Rautenberg

[donroca]

Hallo Sven,

In dem Fall, den ich beschrieben habe, war der bewusste Kollege Webmaster, Contentlieferant, Designer, Serverschrauber... und immer im stillen Kaemmerlein. Zudem waren die Daten nicht so schrecklich geheim, ich denke, da war ein bisschen Bequemlichkeit ok.

Dieter