Apache subdirectories beveiligen (niet basic of digest)

[Fl4sh3r]

Al enige tijd ben ik opzoek naar een goeie, veilig manier om subdirectories van mijn website 'echt' te beveiligen.

Ik heb 'Basic Authentication' al jaren gebruikt, maar daarbij worden wachtwoord plain-text (zij het Base64 encoded) verstuurd.
Als alternatief heb ik 'Digest Authentication' gevonden. Hierbij worden wachtwoorden MD5 versleuteld verstuurd en zijn deze dus niet leesbaar. Als echter het netwerkverkeer wordt afgeluisterd is wel de MD5-hash bekend die nodig is om in te loggen.

Nu ben ik opzoek naar een manier die wél veilig is.

PS van het subforum ben ik niet zo zeker, sorry voor het ongemak van eventueel verplaatsen

[Osiris]

Apache zelf zal geen andere login kunnen geven, daarvoor zul je een server-side script moeten hebben, zoals PHP en dan zijn de mogelijkheden uiteraard praktisch eindeloos

[DJSmiley]

Host je de zut zelf? (maw heb je eigen beheer over je apache)

Dan kun je, als je de zooi echt dicht wilt hebben, zeker eens kijken naar SSL. (httpS).

Al vraag ik me af waarom je de apache basic of digest beveiliging niet genoeg vind. Als de info al dermate gevoelig is had ik vanaf begin af aan al SSL gebruikt......


Zonder SSL kun je ook wel iets redelijk in elkaar klussen bij gebrek aan wat anders: Knup aan elke login een sessie, gebonden aan IP adres van de op dat moment ingelogde gebruiker.

[ Voor 23% gewijzigd door DJSmiley op 17-02-2006 01:02 ]

[CyBeR]

Fl4sh3r schreef op vrijdag 17 februari 2006 @ 00:50:
Als alternatief heb ik 'Digest Authentication' gevonden. Hierbij worden wachtwoorden MD5 versleuteld verstuurd en zijn deze dus niet leesbaar. Als echter het netwerkverkeer wordt afgeluisterd is wel de MD5-hash bekend die nodig is om in te loggen.

Het punt van digest-auth is dat dat niet kan. Digest is een challenge-response authentication scheme. Zie http://rfc.net/rfc2617.html.

[siknu]

Misschien richting de directory directive gaan denken?

<Directory />
Order Deny,Allow
Deny from All
</Directory>

Kijk ook hier eens http://httpd.apache.org/docs/2.2/misc/security_tips.html.

Heb je geen directe toegang tot de conf's dan kan je een .htaccess file met dergelijke directives uploaden naar je subdirs als je hoster je wel toestaat die te gebruiken.

[ Voor 11% gewijzigd door siknu op 17-02-2006 01:18 ]

[Fl4sh3r]

Bedankt voor jullie reacties op die late tijdstip.

Even wat antwoorden:
- Ik host zelf (Linux, Apache 1.3, PHP, MySQL, ...)
- Ook https heb ik wat mee geëxperimeteerd en heb ik problemen mee ondervonden
- PHP met sessions aan IP gekoppeld is een reëele oplossing, het lastige hieraan vind ik echter dat ik de hele dir wil beveiligen en niet iedere pagina of subdir die daarin staat afzonderlijk.

Opzich hoeven de pagina's alleen voor mij en eventueel andere personen (die duidelijk instucties kunnen krijgen) benaderbaar te zijn.

[WHiZZi]

Dan is dit toch een optie:

code:

<Directory />
Order Deny,Allow
Allow from $ip
Deny from All
</Directory>

Dan heb je de hele dir op IP basis al afgeschermd. Digest Auth er eventueel nog bij en https, dan heb je echt wel een secure verbinding..

[Fl4sh3r]

Ik wil er wel graag vanaf verschillende locaties op kunnen.
En dan zou ik dus de IPs van al die locaties moeten achterhalen en toevoegen...

[CyBeR]

Nogmaals, digest authenticatie is niet onveilig. Gebruik dat gewoon.

[Boudewijn]

gewoon SSL.

Het is nu zo dat als je je digest enzo gebruikt mensen die sniffen je pass niet kunnen lezen , maar de rest van de data wel. Ligt er beetje aan, maar denk niet dat je er zo blij mee bent.

SSL voorkomt dat, en je kunt je password veilig (plain zelfs) versturen: alles gaat door de SSL tunnel.
Het is echt niet moeilijk te installeren, alleen zou ik wel eens naar apache2.x kijken.

[Fl4sh3r]

Gezien de reacties hier houd ik het dan maar op SSL met Digest.

Bedankt voor jullie info.