Sicherheit durch verzeichniswechsel

salü
gibt es evtl. irgendwo eine anleitung, die mir erklärt wie ich den adminzugang www.domain.com/typo3 ändern kann in z.b. www.domain.com/administration..? da man ja wahrscheinlich dabei mit symbolischen links arbeiten muss, frage ich lieber nach!

solch ein verzeichnisnamen wechsel wäre ja schonmal eine hürde für evtl. "hack-kiddies"..

danke

Dazu gibt es eine Anleitung in einer der Typo3 Dokus ("Inside Typo3"), da steht auch sonst noch einiges über Security.

Ansonsten kann es sinnvoll sein, das typo3 Verzeichnis per .htaccess zu schützen

Jochen Weiland

jweiland schrieb

Ansonsten kann es sinnvoll sein, das typo3 Verzeichnis per .htaccess zu schützen

Ich denke, die Absicherunge per .htaccess-Datei ist auf jeden Fall dem verstecken des Verzeichnisses vorzuziehen, da dieses Vorgehen viel sicherer ist.
Ist es eigentlich möglich, den Admin-Bereich per .htaccess zu schützen und die Anmeldedaten aus dem entsprechenden Login in Typo3 weiter zu verwenden? Ansonsten muss man sich nämlich leider 2 Mal einloggen...

CU
maxhb

maxhb schrieb

Ansonsten muss man sich nämlich leider 2 Mal einloggen...

na komm, jeder weiß doch: doppelt hält besser... 😉

doku schrieb

maxhb schrieb

Ansonsten muss man sich nämlich leider 2 Mal einloggen...

na komm, jeder weiß doch: doppelt hält besser... 😉

naja, theoretisch verbessert sowas sogar die Sicherheit, aber praktisch ist es eine Qual für die Redakteure ...
CU
maxhb

maxhb schrieb

...aber praktisch ist es eine Qual für die Redakteure ...

na siehste, noch´n grund mehr... 😃 😃

fschnidi schrieb

solch ein verzeichnisnamen wechsel wäre ja schonmal eine hürde für evtl. "hack-kiddies"..

Du könntest per .htaccess Date auch noch dafür sorgen, dass man sichn nur von bestimmten IPs aus bei Deinem System anmelden kann.

CU
maxhb

Das geht nicht nur per .htaccess sondern auch noch über die Typo3 Konfiguration erreichen.

Jochen Weiland

jweiland schrieb

Das geht nicht nur per .htaccess sondern auch noch über die Typo3 Konfiguration erreichen.

Dazu mal eine Prinzipielle Frage. Die Schutzmechanismen von T3 funktionieren doch nur an den Stellen, an denen die entsprechenden Libs / Klassen auch aufgerufen werden. D.h., falls mal jemand vergißt, eine Datei mit den entsprechendem Code zu schützen kann ein Aussenstehender die Dateien ggf. aufrufen ohne eingeloggt zu sein.
Dies kann bei einem Schutz per .htaccess nicht passieren, da dieser keine Modifikationen an irgend welchen Dateien benötigt.
Liege ich da richtig?!
Mir scheint das .htacces Konzept ist deutlich Fehlertoleranter...

CU
maxhb

ich denke die schwachstelle sind immer die passes...
gebe ja zu, dass ich hin und wieder mal wardrive *duck* und was man da so als passes loggt is unglaublich. so sachen wie ichbinsn oder so sind absolut beliebt. john the r*** hat damit aber null problem... ne halbe stunde laufen lassen und man hat nahezu alle passes von nem drive...
angewendet auf diesen thread hier: der streitpunkt sollte nicht zuerst die art des schutzes sein, sondern eher das passwort

@maxhb: ja, mit .htaccess ist man so ziemlich auf der sicheren Seite...

solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel...

Daniel_S schrieb

solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel...

Die Passwortdatei kann man unterhalb des durch .htaccess geschützten Bereiches oder sogar ausserhalb der Documentroot ablegen ...

CU
maxhb

P.S.: Hab gerade mal das T3-Login so umgebaut, dass es die Daten aus dem htaccess-Vorgang übernimmt, klappt sehr gut. Nur dumm, dass man dann alle BE-User per hand als htaccess-User eintragen muss ...

Hi!
Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern? Oder greifen Extensions an dieser Stelle noch nicht und man muss diese Datei direkt manipulieren?

CU
maxhb

maxhb schrieb

Hi!
Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern?

Ich hätte es mir denken sollen, man kann's - wie immer - erweitern. Ist halt Typo3 😉

CU
maxhb

was hältst du davon das mal an kasper zu schicken?
kasper2004(at)typo3.com

Daniel_S schrieb

was hältst du davon das mal an kasper zu schicken?
kasper2004(at)typo3.com

Hatte eigentlich eher an das Repository gedacht, da diese Modifikation problemlos als Extension läuft.
Hab's jetzt so erweitert, dass das Login ein wenig aufgepäppelt wird:
1. Falls ein Fehler beim Login passiert bleibt wenigstens der Username stehen
2. Falls eine htaccess Authorisierung vorliegt werden die Daten im Login-Formular verwendet.

Bin gerade am grübeln, wie man das so hinbekommt, dass man nicht für jeden BE-User die htpasswd Datei manuell erweitern muss...

CU
maxhb

kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt...

ps find ich übrigens ne riesen verbesserung in bezug auf t3 security. dann hat man wenigstens nicht mehr die schwachstelle phpmyadmin, wo man mal eben nen neuen admin-user mit md5 pw einfügen kann und dann zugriff aufs be hat....

Daniel_S schrieb

kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt...

Im Prinzip ja, die große Frage ist nur wann macht man das!
Die Datei muss ja immer dann angepasst werden, wenn ein neuer User angelegt wird oder ein bestehender sein Passwort ändert. Ganz zu schweigen von Problemen der Nebenläufigkeit, falls zwei User gleichzeitig Ihr Passwort ändern...

CU
maxhb