Bestanden beveiligen tegen download

[Verwijderd]

Ik moet bestanden beveiligen tegen download voor mensen die niet het recht hebben om het bestand te downloaden. Ik wil dat het bestand alleen te downloaden is door degene die een bepaald id heeft. Weet iemand een makkelijke manier hiervoor?

Ik heb bijvoorbeeld het zipje: http://www.mijnsite.nl/tekst.zip. Dit bestand mag door niemand gedownload worden, behalve degene met id: 1. Hoe doe ik dit? Of kan dit niet...

[mulder]

En welke taal programmeer je? Spaans? Frans?

[stylee]

Uhm een van de manieren waarop je het zou kunnen doen is bijvoorbeeld werken met fileid's en userid's.

Dan heb je bijvoorbeeld een download script: download.php?fileid=13&userid=1 (hij checkt natuurlijk ook of de userid wel klopt he).

Dan stuur je gewoon een octet stream header (gebruik ff de search voor goeie voorbeelden) met dat zipje (met als fileid 11... alleen jij weet de naam) met fpassthru erachteraan.

Aangenomen dat je php gebruikt... wat je er niet bij hebt vermeld.

[TheDjasp]

Je bent niet helemaal duidelijk wat en hoe je dit wilt: server-side, client-side, maar ik zou gewoon alleen dat linkje laten zien aan diegene(n) met id: 1 en de niet aan de rest.
Wat er niet is kan je ook niet op klikken.

[Wouter Tinus]

Of je zet het achter een .htaccess?

[Verwijderd]

Don Facundo schreef op 29 augustus 2002 @ 11:53:
En welke taal programmeer je? Spaans? Frans?

ASP, maar als het nodig is doen ik het in een andere taal... maakt dus niet zoveel uit.

Ik denk dat het met octet-stream wel lukt... bedankt...

[Crazy D]

.htaccess is een mogelijkheid. Of je maakt een download script (en zorgt ervoor dat de bestanden zelf niet rechtstreeks te benaderen zijn via een browser), en kijkt welk bestand er wordt opgevraagt, en als het een file is die alleen bepaalde mensen mogen downloaden, laat je ze even inloggen oid (of dat inloggen gebeurt al ergens anders, en geef je een 404 als ze niet zijn ingelogt). Oid dan he

[Verwijderd]

zet ze niet online

[Verwijderd]

Verwijderd schreef op 30 augustus 2002 @ 11:09:
zet ze niet online

Bedankt voor deze geniale oplossing

[Xandrios]

stylee schreef op 29 augustus 2002 @ 11:54:
Uhm een van de manieren waarop je het zou kunnen doen is bijvoorbeeld werken met fileid's en userid's.

Dan heb je bijvoorbeeld een download script: download.php?fileid=13&userid=1 (hij checkt natuurlijk ook of de userid wel klopt he).

Dan stuur je gewoon een octet stream header (gebruik ff de search voor goeie voorbeelden) met dat zipje (met als fileid 11... alleen jij weet de naam) met fpassthru erachteraan.

Aangenomen dat je php gebruikt... wat je er niet bij hebt vermeld.

Is het niet zo dat op deze manier, de url wel te achterhalen is, en gewoon dor iedereen die de url weet, te downloaden?

[Dentist]

Ff uit m'n hoofd en uitgaand van php/apache:

1. Je maakt een .htaccess bestand aan met daarin

<Files *.zip>
Order allow,deny
Deny from all
</Files>

2. Vervolgens php je bestanden die links genereren naar de juiste files (dus afhankelijk van het id)

[Verwijderd]

Ik weet wel een oplossinkje voor je

Je zet de bestanden neer in een directory die niet via het web bereikbaar is bijvoorbeeld dmv permissies.
Nu maak je een download script en om te downloaden moeten mensen eerst inloggen, zodra ze ingelogt zijn zien ze de bestanden die ze kunnen downloaden simpelweg in de vorm van links, maar deze links zijn beveiligd omdat de downloads via het script lopen en deze checkt dus ofdat er ingelogt en autorizatie om te downloaden is.
Hierbij moet je dus ook nog een simpel backendje maken, maar dit is denk ik wel de beste oplossing ... of anders zou ik .htaccess aanraden.

[pagani]

Cutebritney schreef op 30 augustus 2002 @ 12:06:
[...]


Is het niet zo dat op deze manier, de url wel te achterhalen is, en gewoon dor iedereen die de url weet, te downloaden?

Je zult er idd voor moeten zorgen dat de rechten van het bestand zo zijn dat anderen er niet aan kunnen komen... Of de bestanden achter de firewall zetten zodat alleen je scripts erbij kunnen...

Damnz, skunkah was me voor

[stylee]

Cutebritney Is het niet zo dat op deze manier, de url wel te achterhalen is, en gewoon dor iedereen die de url weet, te downloaden?

Nee, je opent direct het bestand binair (waarvan jij alleen de naam weet) met fopen en gooit alle bitjes en bytes direct naar de browser van de client. Deze ziet dus ook als url download.php?fileid=x&userid=x.

Soms sturen mensen uit download.php een redirect header, dan zou je er bijv met een downloadmanager oid wel achter kunnen komen.

[The - DDD]

TheDjasp schreef op 29 augustus 2002 @ 11:55:
Je bent niet helemaal duidelijk wat en hoe je dit wilt: server-side, client-side, maar ik zou gewoon alleen dat linkje laten zien aan diegene(n) met id: 1 en de niet aan de rest.
Wat er niet is kan je ook niet op klikken.

Ooit gehoord van security by obscurity? Dit is geen beveiliging.