unterschied von PGP und AuthType Basic ?

[Alain]

hallo, Kann mir jemand erklären,was den der unterschied zwischen AuthType PGP  (Pretty good privacy) und AuthType Basic ist und ob die beiden methoden PGP zumindest auch auf unix funktionieren? Ich würde gerne digest benutzen aber ich weiss ned so recht ob das geht bei meinem apache 1.27 bzw. ob auch die Browser damit klar kommen. Grüsse vom Alain

[Christian Seiler]

Hallo Alain,

Kann mir jemand erklären,was den der unterschied zwischen AuthType PGP  (Pretty good privacy) und AuthType Basic
ist

Hä? Wo hast Du denn AuthType PGP her? Das gibt es doch gar nicht, nicht mal im Apache 2.0: http://httpd.apache.org/docs-2.0/mod/core.html#authtype Es gibt dort nur Basic und Digest, die auch von RFC 2617 beschrieben werden; schon mit Digest haben Browser genug Probleme, ich wage mal zu bezweifeln, dass - wenn es AuthType PGP gäbe - es überhaupt ein Browser unterstützt. Allerdings nehme ich Dir auch nicht ab, dass es AuthType PGP geben soll, bevor Du mich nicht ein RFC zeigst, wo das beschrieben wird.

Ich verstehe außerdem nicht ganz, wie Du auf das ganze kommst: AuthType Basic ist eine möglichkeit, sich per Benutzernamen und Passwort zu authentifizieren. PGP ist dagegen eine Software, mit der man über asymmetrische Verschlüsselungsverfahren (im Moment werden RSA und DSA unterstützt) Daten vor fremden Blicken schützen kann. Man kann sich zwar an sich mit asymmetrischen Verfahren authentifizieren - allerdings nicht mit PGP, zumindest nicht über eine HTTP-Authentifizierung.

und ob die beiden methoden PGP zumindest auch auf unix funktionieren?

AuthType Basic funktioniert auf allen Plattformen, auf denen der Apache läuft. Für die Software PGP gibt (gab?) es eine UNIX-Version; es gibt auch eine freie Alternative GnuPG, die unter UNIX läuft. Allerdings sehe ich immer noch keine Verbindung zwischen PGP und Apache.

Ich würde gerne digest benutzen aber ich weiss ned so recht ob das geht bei meinem apache 1.27 bzw. ob auch die Browser damit klar kommen.

Was denn nun? PGP oder Digest? Erst einmal ist der Apache 1.2.7 _sehr_ alt. Ich würde den _dringendst_ mal upgraden. Zweitens: Einige Browser (ich denke da vor allem an den IE) kommen heutzutage nicht wirklich mit Digest Authentication klar, suche im Archiv mal nach Postings von Henryk Plötz zu diesem Thema.

Viele Grüße,
Christian

[Alain]

hallo,

Hä? Wo hast Du denn AuthType PGP her? Das gibt es doch gar nicht, nicht mal im Apache 2.0: http://httpd.apache.org/docs-2.0/mod/core.html#authtype Es gibt dort nur Basic und Digest, die auch von RFC 2617 beschrieben werden; schon mit Digest haben Browser genug Probleme, ich wage mal zu bezweifeln, dass - wenn es AuthType PGP gäbe - es überhaupt ein Browser unterstützt. Allerdings nehme ich Dir auch nicht ab, dass es AuthType PGP geben soll, bevor Du mich nicht ein RFC zeigst, wo das beschrieben wird.

ich zitiere http://selfhtml.teamone.de/diverses/htaccess.htm#verzeichnisschutz selfhtml: Mit AuthType wird die Art der Authentifizierung bezeichnet. Die übliche Angabe ist Basic - dabei stehen die Benutzer und Passwörter in einer noch anzugebenden Datei. Eine anderer denkbarer Authentifizierungstyp wäre PGP (Pretty good privacy).

AuthType Basic funktioniert auf allen Plattformen, auf denen der Apache läuft. Für die Software PGP gibt (gab?) es eine UNIX-Version; es gibt auch eine freie Alternative GnuPG, die unter UNIX läuft. Allerdings sehe ich immer noch keine Verbindung zwischen PGP und Apache.

Ich würde gerne digest benutzen aber ich weiss ned so recht ob das geht bei meinem apache 1.27 bzw. ob auch die Browser damit klar kommen.

Was denn nun? PGP oder Digest? Erst einmal ist der Apache 1.2.7 sehr alt. Ich würde den dringendst mal upgraden. Zweitens: Einige Browser (ich denke da vor allem an den IE) kommen heutzutage nicht wirklich mit Digest Authentication klar, suche im Archiv mal nach Postings von Henryk Plötz zu diesem Thema.

sorry ich meinte apache 1.3.27 Zu PGP hab ich noch auf dieser seite http://hoohoo.ncsa.uiuc.edu/docs/PEMPGP.html oder http://cypherpunks.venona.com/date/1994/01/msg00698.html scheint auch eine verschlüsselungs form zu sein?

Grüsse vom Alain

[Christian Seiler]

Hallo Alain,

Zu PGP hab ich noch auf dieser seite http://hoohoo.ncsa.uiuc.edu/docs/PEMPGP.html oder http://cypherpunks.venona.com/date/1994/01/msg00698.html

Tatsächlich...

scheint auch eine verschlüsselungs form zu sein?

Wie gesagt: PGP ist ein Verschlüsselungsprogramm mit asymmetrischen Verfahren. So wie ich das jetzt sehe, teilt der Client dem Server seine Email mit und der Server verschlüsselt die Kommunikation dann mit dem öffentlichen Schlüssels des Clients.

Allerdings: Das eine Dokument, das Du zitierst, ist von 1994. Heutzutage unterstützt das mit Sicherheit kein Browser. [1] Apache basiert zwar auf dem dort angegebenen Webserver (NCSA HTTPD) - allerdings dürfte das Modul nicht mehr laufen.

Viele Grüße,
Christian

[1] Mosaic ist tot.

[Henryk Plötz]

Moin,

Zu PGP hab ich noch auf dieser seite http://hoohoo.ncsa.uiuc.edu/docs/PEMPGP.html oder http://cypherpunks.venona.com/date/1994/01/msg00698.html

Weia, das ist ja mal abgefahrenes Voodoo.

Nun wie schon gesagt, falls tatsächlich mal irgendwer irgendwo da draussen das in echt eingesetzt haben sollte, sieht es sich jetzt die Radieschen von unten an.

Aber genau das was dort gemacht wurde, macht man heutzutage mit HTTP over SSL (aka HTTPS) und Client-Zertifikaten. Da hat der Client dann auch einen geheimen Schlüssel der dem bei PGP benutzten nicht unähnlich ist und Client und Server können sich gegenseitig authentifizieren und eine sichere, verschlüsselte Verbindung aufbauen.

Das können sogar alle aktuellen Browser die etwas auf sich halten völlig problemlos von sich aus. Deine Google-Stichwörter sind mod_ssl und openssl (damit müsste man Clientzertifikate ausstellen können, probiert habe ich es aber noch nicht) bzw. sogar openca wenn du das für mehr als eine Handvoll User machen willst (das kenne ich aber auch nur vom Hörensagen).

[Alain]

hallo,

Deine Google-Stichwörter sind mod_ssl und openssl (damit müsste man Clientzertifikate ausstellen können, probiert habe ich es aber noch nicht) bzw. sogar openca wenn du das für mehr als eine Handvoll User machen willst (das kenne ich aber auch nur vom Hörensagen).

Falsch, es waren die stichwörter auth, PGP, PEM, http://www.google.ch/search?q=auth+pgp+pem&btnG=Google+Suche&hl=de&ie=ISO-8859-1 ich hatte auch ne seite gesehen wo dieses pgp in win nt erklärt wurde. Ich weiss nun auch dass digest nicht in frage kommt,da der server dies eh nicht unterstützt und einige browser damit probleme haben. Und @Christian,wieso nimmt man diese PGP jnfo nicht aus dem selfhtml,wenn es eh schon so alt ist und zu dem auch noch schlecht oder mangelhaft erklärt wird? Jedenfalls trotzdem danke für Eure Mühe Grüsse vom Alain

[Henryk Plötz]

Moin,

Deine Google-Stichwörter sind mod_ssl und openssl (damit müsste man Clientzertifikate ausstellen können, probiert habe ich es aber noch nicht) bzw. sogar openca wenn du das für mehr als eine Handvoll User machen willst (das kenne ich aber auch nur vom Hörensagen).

Falsch, es waren die stichwörter auth, PGP, PEM,

Ich meinte damit das das die Sachen sind über die du dich informieren sollst, wenn du wissen willst wie man das heutzutage (eben über SSL) macht. Da sind dann auch keine Serverprobleme zu erwarten (solange er SSL kann) und bei den Browsern dürfte es ebenfalls so gut wie keine absolut kaputten Implementierungen geben.

Ich weiss nun auch dass digest nicht in frage kommt,da der server dies eh nicht unterstützt und einige browser damit probleme haben.

Man kann das auch mit Skripten bauen (ich habe eine experimentelle Implementierung in PHP) und der einzige aktuelle totalversagende Browser ist soweit ich weiss der Internet Explorer. (Amaya hatte in älteren Versionen ein obskures Problem das aber in der Praxis nie auftauchen dürfte und mittlerweile auch schon repariert ist. Netscape 4.x läuft natürlich ausser Konkurrenz.)