[HaBo]

Athelstan

Hallo Habo,

ich habe mich neulich nach einem Tutorial für .htaccess usw. umgeschaut, und hier im Board gab es dazu anscheinend noch nichts genaueres. Da es aber für viele andere wahrscheinlich auch eine der ersten Anlaufstellen ist, will ich hier mal ein Tutorial dazu veröffentlichen, wie man in Grundzügen Sicherheit von Daten auf Webservern realisieren kann.

Um Daten vor Fremdbenutzern zu schützen braucht man zwei Dateien:
1) .htaccess
2) .htpasswd
Die erste der beiden beinhaltet generelle Einstellungen, den Pfad zur .htpasswd-Datei und eventuelle Optionen. Die zweite beinhaltet alle Usernames, die auf das Verzeichnis zugreifen dürfen, und in verschlüsselter Form deren Passwörter. Eine .htaccess-Datei könnte so aussehen:

Die erste Zeile beschreibt die Lage der Datei .htpasswd, die gleich noch benötigt wird. Hier ist sie einfach im selben Verzeichnis. Die zweite Zeile beschreibt die Lage der Datei .htusers, die die erlaubten Gruppen beinhaltet. Das werde ich in diesem Tutorial aber nicht ansprechen, deswegen nehmen wir mal /dev/null . Die dritte Zeile ist nichts weiter als die Ausgabe, die im späteren Loginfenster über den Formulareingaben steht. Zeile vier beschreibt den Typ der Authentifizierung, in diesem Fall, da es ja nur grundlegend sein soll, "Basic". In den nächsten 3 Zeilen steht, was benötigt wird, um Daten einsehen zu können. Hier wird ein User, der in der .htpasswd steht, und sein korrektes Passwort verlangt. Danach kommen die Definitionen für Errorpages. Wenn ich mich also auf einem Webserver mit dieser .htaccess-Datei per Browser einloggen würde und eine Seite aufrufen würde, die es nicht gibt, stände da "Error 404". Stattdessen kann man auch etwas schöneres nehmen, zum Beispiel "Diese Seite gibt es nicht." oder "Heute sind deine Lottozahlen 4,0,4.". Das ist dann der Kreativität des Benutzers überlassen.
Kommen wir zur .htpasswd-Datei. Die ist ganz simpel und könnte beispielsweise so aussehen:
Jede Zeile für einen Benutzer und sein verschlüsseltes Passwort.

Diese zwei Dateien müsst ihr einfach in das Verzeichnis kopieren, das geschützt werden soll. Dann kann nur jemand, der Username und Passwort kennt, per Browser auf das Verzeichnis zugreifen.

mfg,

Athelstan

//edit: Hier gibt es ein Tool zum erstellen einer .htaccess- bzw, .htpasswd-Datei: Link

AmShaegar

Spitze, ist alles drin, was man für den Anfang braucht. Weitere Infos kann man ja erfragen oder im Internet suchen. Eine Anmerkung aber noch:
Ändert den Pfad zur .htpasswd nicht dahingehend ab, dass ihr die nachher in einem ungeschützten ordner liegen habt. Das wär fatal. ein Angreifer könnte diese einfach direkt runterladen und hätte so die Benutzernamen und verschlüsselten Passwörter. Am besten liegt die .htpasswd in dem zu schützenden Ordner.

MfG AmShaegar

rami

Unsinn. In den Apache-Standardeinstellungen wird für alle Dateien, die mit ".ht*" beginnen ein "Deny from all" gesetzt... Solange der Ordner nicht über öffentlichen FTP erreichbar ist, muss man sich da keine Sorgen machen.

__________________

AmShaegar

Umso besser Dann hatte ich da wohl was falsch verstanden. Aber es ist möglich, die Datei über ein "fehlerhaftes" Script einzubinden:
http://terraemotus.de/passwd.php?page=.htpasswd
Aber das ist nicht das Thema. Entschuldige für die falschen Infos.

Cyberm@ster

Wer so einen Code verwendet ist selbst schuld.

Zum Thema: Dein Tutorial ist ein guter Einstieg, du könntest aber noch hinzufügen wie man ein verschlüsseltes Passwort erstellt.

Athelstan

Hi,

danke für die Idee. Das ganze kann man sich auch ganz einfach machen und diesen htaccess-Generator benutzen: Link

Verschlüsselt auch Passwörter

mfg,

Athelstan

xeno

unter linux mit dem tool 'htpasswd' aus den apache2-utils:

-c legt die datei an, muss also bei der zweiten anwendung nicht mehr angegeben werden.

__________________
http://www.thehappy.de/~xeno/
http://www.blogthon.de/

bitmuncher

Die .htpasswd im Webhome. *schauder*

Nachtrag: Und evtl. sollte man noch erwähnen, dass die .htaccess nicht auf jedem Webserver ausgewertet wird und dass für das Verzeichnis entsprechende AllowOverwrite-Optionen gesetzt sein müssen, damit die Passwort-Authentifizierung auch funktioniert.

__________________

overflow

Hi,

ich habe auch mal ein Tutorial dazu geschrieben.
Vielleicht gibt es einiges was du hinzufügen könntest.

__________________
Hackerboard.de - [HaBo] ist bei Facebook.

bitmuncher

Ein paar Anregungen:

Wer einmal Apache aus dem Source installiert hat weiss, dass es standardmässig keine extra Datei für die VirtualHosts gibt, sondern lediglich eine httpd.conf im conf-Ordner des Installationsordners. Dieser "Standard" existiert nur auf einigen Distros wie SuSE und Debian (sowie deren Abkömmlingen).

Man sollte erwähnen, dass dieses Tool auf einigen Distros auch htpasswd2 heissen kann.

__________________

overflow

Ja da hast du recht.
Benutze als Server Debian

__________________
Hackerboard.de - [HaBo] ist bei Facebook.

Mammutz

Hallo zusammen,

als Neuling gebe ich meinen Einstand hier in diesem Thread.

Mein Problem: Ich habe die Anweisungen in diesem Toturial soweit befolgt.
Ich habe einen Ordner angelegt, der sich "kunden" nennt. Anschließend habe ich die beiden Dateien hinzugefügt und weitere Unterordner angelegt, die sich dann "kd0001", "kd0002" usw. nennen. Wenn ich jetzt aber auf einen dieser Ordner zugreifen will funktioniert das nicht, ich bekomme immer den Fehler 500.

Wo habe ich mich im Eventualfall nicht genau an das Toturial gehalten?

MfG, Florian

Zwirni

Das können wir dir schwer sagen, wenn Du nicht den von dir verwendeten Code zeigst. Allerdings ist es mitunter hilfreich ins error-log des Webservers zu schauen um die Ursache heraus zu bekommen.