.htaccess digest vs basic, Windows vs Linux

[odigo]

Hallo Leute,

ich versuche gerade bei den Authentifizierungsmechanismen für eine Webseite durchzublicken. Ich wollte eigentlich nur Fragen, ob die Infos die ich gefunden habe, richtig sind. Ich bin mir nämlich nicht ganz sicher. Besonders wie das auf den verschiedenen Betriebssystemen gehandhabt wird.

Windows:
Methode basic:
- Die Passwörter müssen im Klartext in der htpasswd sein
- Die Passwörter werden im Klartext zum Server übertragen ausser natürlich bei SSL-Verschlüsselung

Methode digest:
- Die Passwörter müssen im Klartext in der htpasswd sein
- Die Passwörter werden verschlüsselt auf den Server übertragen (als MD5)

Linux:
Methode basic:
- Die Passwörter können verschlüsselt (DES) oder im Klartext in der htpasswd sein
- Die Passwörter werden im Klartext zum Server übertragen

Methode digest:
- Die Passwörter müssen verschlüsselt (MD5) in der htpasswd sein
- Die Passwörter werden verschlüsselt auf den Server übertragen (als MD5)

Ist das so richtig?

Gruß odigo

Edit: Weiß zufällig noch jemand ob mit das mit der htpasswd beim IIS und beim Apache unter Windows gleich ist?

 

[Elderan]

Hallo,
Zu Linux-Methode-Basic:
Die Passwörter werden mit der Unix crypt() Funktion verschlüsselt, dort kann DES zum Einsatz kommen, aber auch MD5 oder Blowfish.
PHP Crypt

Die Passwörter werden dann per base64 Kodiert im HTTP Header an den Server übertragen.

Hier noch was zu lesen:
Basic access authentication
Digest access authentication
RFC - HTTP Authentication: Basic and Digest Access Authentication


Zum IIS und Apache:
.htaccess ist doch ein Feature vom Apache und wird nicht vom IIS unterstützt (soweit ich weiß), wie man dem IIS also die HTTP Authenfizierung beibringt weiß ich nicht, aber garantiert anders