Login mit Passwort

[Thomas Luethi]

Hallo,

Von JavaScript würde ich dir aber dringend abraten, ist zwar die schnellste Methode, aber auch die am leichtesten zu knackende

Naja, es gibt eine Methode, die fast ebenso "sicher" ist
wie alle andern Passwort-Methoden, bei denen nur ein
Passwort verlangt wird (aber kein Benutzername) und
wo man unzaehlige Versuche hat:
http://www.ideenreich.com/trickkiste/tricks46.shtml

Prinzip: Das "Passwort" ist Teil der URL, z.B.
"geschuetzte Datei":
  "http://www.example.com/"+ Passwort + ".html"
"geschuetztes Verzeichnis":
  "http://www.example.com/"+ Passwort + "/index.html"
Mit andern Worten: Die URL ist "geheim".
Der Angreifer kann jetzt natuerlich alle moeglichen
"Passwoerter" bzw. URLs durchspielen, bis er nicht
mehr einen 404- sondern einen 200-Status erhaelt.
(Solche "Brute Force" Angriffe sind aber auch
bei anderen Schutzmechanismen - z.B. .htaccess - moeglich
und bei genuegend Geduld auch erfolgreich.)

Dieser "Schutz" (geheime URL) hat einige Schwachstellen
(Proxies, History...).
Wenn der Webserver keine anstaendigen Moeglichkeiten bietet,
ist es aber besser als nichts...

Alex hat nicht gesagt, um was fuer Inhalte es geht.
Ich rate mal, er will einen Teil seiner privaten Bastel-Homepage
nur fuer seine Kumpels freischalten oder so...
Dann reicht sowas IMHO vollkommen.
Und wenn jemand Probleme mit dem JavaScript hat,
kann man ihm ja immer noch die ganze URL bekanntgeben...

Natuerlich waere eine andere Loesung vorzuziehen, aber:
Eine anstaendige Passwortschutz-Loesung benoetigt
auch einen anstaendigen Server ;-)

Alex hat nichts ueber seinen Server verraten, deshalb ist es
muessig, hier konkrete Dinge zu nennen...

Gruesse,

Thomas