Hi

Nabend!

Also, ein  htacces PW-Schutz funktioniert nur auf Servern mit Linux/Unix. Auf einem Windows-Server geht das nicht.

Sorry, aber auf meiner DOSe klappt der .htaccess-Schutz wie vorgesehen, sogar mit Dateien des Namens .htaccess, d.h. nur weil der Windows-Explorer damit Probleme hat, heißt das noch lange nicht, dass der Apache oder irgendwelche Texteditoren solche Dateien nicht be-/verarbeiten könnten.

Generell würde ich zu einem PW-Schutz mittels <form> raten. Da man sich PHP-Skripte nicht downloaden kann (ich habe es noch NIE geschafft, gibts da eigentlich Software dazu? Und darf man das?), besteht keinerlei Gefahr, das Passwort zu knacken. Außer man hackt den Server, was aber nicht sehr häufig vorkommt.

Da brauch, wie gesagt, nur ein Konfigurationsfehler auftreten, voila. Außerdem, ob man Server hacken darf oder nicht, kümmert einen Kriminellen relativ wenig (deshalb ist er ja auch kriminell). Bei der Komplexität heutiger Software und Computer sind Sicherheitslücken so gut wie überall drin, man muss sie nur finden und ausnutzen. Und das gehackte Webserver selten sind, merkt man ja grad an den vielen geschlossenen phpBB-Foren, weil Santy so freundlich ist (http://www.heise.de/security/news/meldung/54623, außerdem als kleine Lektüre: http://www.heise.de/security/news/meldung/54671).

Außerdem finde ich die htaccess-Eingabeaufforderung sehr plump. Es ist einfach ein Fenster, an dem man keine Designspezifische Veränderungen vornehmen kann. Bei <form>-PW-Schutz kann man das...

Dafür kann man aber diese Eingabeaufforderung auch nicht manipulieren, Formulare schon. Man sollte bereit sein, der Sicherheit zu Gute Abstriche beim Design zu machen. Ist langfristig besser so.

Ach ja: InternetCafés benutzen meist den IE, der sich (noch) keine Passwörter merken kann.

Meiner Schon, IE 5.0.

[...] Für alles andere nicht...

;-)

amer

Frohes Neues, Robert

Moin,

Also, ein  htacces PW-Schutz funktioniert nur auf Servern mit Linux/Unix. Auf einem Windows-Server geht das nicht.

Gebetsmühle: Es gibt keinen htaccess-Passwort-Schutz. Es gibt HTTP Authentication (und auch davon mindestens zwei standardisierte Varianten, plus ein bisschen Kleinzeug) die irgendwo in der Serverkonfiguration eingestellt wird. Wie die Serverkonfiguration heisst und wo sie liegt ist vollkommen irrelevant. Und natürlich hat das Betriebssystem des Servers damit am allerwenigsten zu tun.

Generell würde ich zu einem PW-Schutz mittels <form> raten. Da man sich PHP-Skripte nicht downloaden kann (ich habe es noch NIE geschafft, gibts da eigentlich Software dazu? Und darf man das?), besteht keinerlei Gefahr, das Passwort zu knacken.

Das ist keine dazu geeignete Sicherheitsmassnahme. Was geeignet ist (solange es da nicht andere Probleme gibt, hallo Peter Huth ;) ist die Passwortdaten ausserhalb der vom Webserver erreichbaren Verzeichnisse zu speichern. Ob sie da in einer Datei liegen die der Webserver anschließend zur Durchführung von HTTP-Auth benutzt, oder ob ein selbstgebasteltes Skript dagegen prüft ist schnurzpiep- und aber sowas von -egal.

Außer man hackt den Server, was aber nicht sehr häufig vorkommt.

Schade, der Link zum 'Spaß' bei Loomes kam ja schon.

Ach ja: InternetCafés benutzen meist den IE, der sich (noch) keine Passwörter merken kann.

Er kann.

Für das - das muss man ihm lassen - ist der IE wirklich gut geeignet. Für alles andere nicht...

Wenn du schon ein zur Abwechslung gutes Feature des IE hervorheben möchtest, dann doch bitte eines welches auch wirklich da ist. Zum Beispiel verwendet der Internet Explorer im Gegensatz zu den letzten Versionen von Mozilla, Firefox, Galeon und Opera die ich getestet habe bei Digest Auth einen anderen Dialog als bei Basic Auth, was durchaus positiv ist.

Hallo amer,

Also, ein  htacces PW-Schutz funktioniert nur auf Servern mit Linux/Unix. Auf einem Windows-Server geht das nicht.

Nein. .htaccess ist kein PW-Schutz. .htaccess ist eine Möglichkeit, den Apache-Server zu konfigurieren. In einer .htaccess-Datei kannst Du unter anderem auch eine bestimmte Art von Passwortschutz konfigurieren: "HTTP Basic Authentication". Der Apache unter Windows kann übrigens auch HTTP Basic Authentication, der IIS genauso.

Generell würde ich zu einem PW-Schutz mittels <form> raten.

Warum?

Da man sich PHP-Skripte nicht downloaden kann

Man kann auch .htaccess/.htpasswd auch nicht runterladen, wenn der Webserver richtig konfiguriert ist.

(ich habe es noch NIE geschafft,

Es hängt von der Konfiguration des Webservers ab.

gibts da eigentlich Software dazu?

Nein, kann es auch nicht geben. Und wenn man es doch schaffen kann, dann braucht man keine extra Software dazu, dann ist der Server falsch konfiguriert.

besteht keinerlei Gefahr, das Passwort zu knacken.

Falsch. Wenn jemand "bayern" als Passwort wählt, dürfte das selbst über das Web sehr schnell geknackt sein (durch ausprobieren von Wörtern). Es hängt immer davon ab, wie sicher das Passwort gewählt ist. Christian Kruse hat einen Feature-Artikel zur sicheren Passwort-Wahl geschrieben.

Außerdem finde ich die htaccess-Eingabeaufforderung sehr plump. Es ist einfach ein Fenster, an dem man keine Designspezifische Veränderungen vornehmen kann.

Es ist Sache der Webbrowser, wie diese Eingabeaufforderung aussieht.

Bei <form>-PW-Schutz kann man das...

Bei einem anderen Passwortschutz muss man sich aber auch um Sessions und den ganzen Krempel kümmern *und* man kann andere Resourcen als (bspw.) PHP nur sehr umständlich schützen.

Ach ja: InternetCafés benutzen meist den IE,

Leider ja. In einer Umgebung, wo es eigentlich auf Sicherheit ankommt, sollte so etwas eigentlich nicht sein.

der sich (noch) keine Passwörter merken kann.

Doch, der kann sich Passwörter merken. Zum Glück ist aber wenigstens das in den meisten Internet-Cafés ausgeschaltet.

Für das - das muss man ihm lassen - ist der IE wirklich gut geeignet.

Für was? Internet-Cafés? Gerade das wäre der letzte Ort, wo ich den einsetzen würde. Die einzige Möglichkeit, den IE sicher zu betreiben, ist, wenn der Benutzer genug Erfahrung zum Thema Sicherheit hat. Bei Internet-Cafés ist das alles andere, als gegeben.

Viele Grüße,
Christian