Wachtwoord op directory

[Ruubster]

Ik heb n vraag. Hoe veilig is een wachtwoord op een directory van een website?

Mijn moeder heeft namelijk een eigen website gemaakt, en ik heb er voor haar een wachtwoord op gezet. Omdat ik weinig verstand heb van beveiligings-scripts, leek het me slim om gewoon een wachtwoord op een directory te zetten via het controlpanel, en vanuit de index naar de pagina's in die directory te linken. Er komt dan een popup waarin je een gebruikersnaam en wachtwoord moet invoeren.

En omdat het niet de bedoeling is dat mensen onrechtmatig de website kunnen bezoeken, vroeg ik me af hoe veilig dit is? Is er een simpele manier om hier omheen te komen? En zo ja, hoe kan ik dit beter beveiligen?

[ Voor 8% gewijzigd door Ruubster op 30-08-2008 12:35 ]

[Arethusa]

Gebruik maken van .htaccess ?

_{Edit: Moet nog iets meer koffie drinken vanmorgen blijkt uit de post hieronder}

[ Voor 24% gewijzigd door Arethusa op 30-08-2008 11:29 ]

[sub0kelvin]

@Arenthuse: het is al met .htaccess.

Voor zover ik weet is het niet makkelijk deze beveiliging te omzeilen. Waar je wellicht nog naar wilt kijken is om de .htpasswd te verplaatsen naar buiten de root van de website (vaak 'www' of 'public_html'), zodat deze nooit via de webserver getoond kan worden, ook niet in het geval van een bug in de webserver.

Dan ligt het enige gevaar nog in een hacker die toegang krijgt tot de server zelf en zo alsnog de inhoud van de website kan bekijken, maar die kans is behoorlijk klein, zeker bij een goed onderhouden server.

[ Voor 11% gewijzigd door sub0kelvin op 30-08-2008 11:26 ]

[Verwijderd]

sub0kelvin schreef op zaterdag 30 augustus 2008 @ 11:25:
@Arenthuse: het is al met .htaccess.

Voor zover ik weet is het niet makkelijk deze beveiliging te omzeilen. Waar je wellicht nog naar wilt kijken is om de .htpasswd te verplaatsen naar buiten de root van de website (vaak 'www' of 'public_html'), zodat deze nooit via de webserver getoond kan worden, ook niet in het geval van een bug in de webserver.

Dan ligt het enige gevaar nog in een hacker die toegang krijgt tot de server zelf en zo alsnog de inhoud van de website kan bekijken, maar die kans is behoorlijk klein, zeker bij een goed onderhouden server.

Waarop baseer jij dat de kans klein is of zou zijn?

[A.Kebab]

-link gedelete-

Ook even bij google vragen of ze de cache voor je willen deleten.

[ Voor 51% gewijzigd door A.Kebab op 30-08-2008 16:59 . Reden: link weggehaald ]

[sub0kelvin]

Verwijderd schreef op zaterdag 30 augustus 2008 @ 11:28:
[...]
Waarop baseer jij dat de kans klein is of zou zijn?

Slechte woordkeuze inderdaad. Ik bedoelde te zeggen dat het bekijken van de content niet gemakkelijk zal zijn voor de eerste de beste persoon, mits de server goed onderhouden is.

[Ruubster]

Bedankt voor jullie reacties.

Ik heb de link uit mijn eerste bericht gehaald, voor de veiligheid. Ik weet nu in ieder geval dat dit veilig genoeg is. Voor zover ik weet is de server goed onderhouden. We hebben een goede host.

Ik zal even vragen of google de cache delete !

Het is de bedoeling dat mensen er niet zomaar op kunnen komen. Hackers zullen er weinig nut bij hebben, want er is totaal niks spannends te vinden voor hun.

[Cartman!]

Met sommige tools kun je met proxy's en wordlists proberen toegang te krijgen tot de beveiligde map. De tool registreert de http codes die het krijgt en als er een code 200 (ok) bij zit bijv. dan is het in orde en heb je username/password weten te achterhalen.

Of iemand de moeite wil nemen om de map van jouw moeder te kunnen bekijken is weer een ander verhaal

[Sendy]

Afhankelijk van welk statement in de .htaccess is gebruikt (<Location> of <Directory>) is het veilig of minder veilig.
<Location> test alleen het pad in de URL. Als iemand een andere URL maakt naar dezelfde directory dan kan je die toch lezen. Niet heel veilig dus.

<Directory> beschermt de directory, onafhankelijk hoe je daar komt. Wel veilig dus.

[RetroTycoon]

Sendy schreef op vrijdag 05 september 2008 @ 16:19:
Afhankelijk van welk statement in de .htaccess is gebruikt (<Location> of <Directory>) is het veilig of minder veilig.
<Location> test alleen het pad in de URL. Als iemand een andere URL maakt naar dezelfde directory dan kan je die toch lezen. Niet heel veilig dus.

<Directory> beschermt de directory, onafhankelijk hoe je daar komt. Wel veilig dus.

Dat wist ik niet... toch nog wat geleerd vandaag