Sicherheit durch verzeichniswechsel

@maxhb: ja, mit .htaccess ist man so ziemlich auf der sicheren Seite...

solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel...

Daniel_S schrieb

solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel...

Die Passwortdatei kann man unterhalb des durch .htaccess geschützten Bereiches oder sogar ausserhalb der Documentroot ablegen ...

CU
maxhb

P.S.: Hab gerade mal das T3-Login so umgebaut, dass es die Daten aus dem htaccess-Vorgang übernimmt, klappt sehr gut. Nur dumm, dass man dann alle BE-User per hand als htaccess-User eintragen muss ...

Hi!
Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern? Oder greifen Extensions an dieser Stelle noch nicht und man muss diese Datei direkt manipulieren?

CU
maxhb

maxhb schrieb

Hi!
Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern?

Ich hätte es mir denken sollen, man kann's - wie immer - erweitern. Ist halt Typo3 😉

CU
maxhb

was hältst du davon das mal an kasper zu schicken?
kasper2004(at)typo3.com

Daniel_S schrieb

was hältst du davon das mal an kasper zu schicken?
kasper2004(at)typo3.com

Hatte eigentlich eher an das Repository gedacht, da diese Modifikation problemlos als Extension läuft.
Hab's jetzt so erweitert, dass das Login ein wenig aufgepäppelt wird:
1. Falls ein Fehler beim Login passiert bleibt wenigstens der Username stehen
2. Falls eine htaccess Authorisierung vorliegt werden die Daten im Login-Formular verwendet.

Bin gerade am grübeln, wie man das so hinbekommt, dass man nicht für jeden BE-User die htpasswd Datei manuell erweitern muss...

CU
maxhb

kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt...

ps find ich übrigens ne riesen verbesserung in bezug auf t3 security. dann hat man wenigstens nicht mehr die schwachstelle phpmyadmin, wo man mal eben nen neuen admin-user mit md5 pw einfügen kann und dann zugriff aufs be hat....

Daniel_S schrieb

kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt...

Im Prinzip ja, die große Frage ist nur wann macht man das!
Die Datei muss ja immer dann angepasst werden, wenn ein neuer User angelegt wird oder ein bestehender sein Passwort ändert. Ganz zu schweigen von Problemen der Nebenläufigkeit, falls zwei User gleichzeitig Ihr Passwort ändern...

CU
maxhb

Daniel_S schrieb

ps find ich übrigens ne riesen verbesserung in bezug auf t3 security. dann hat man wenigstens nicht mehr die schwachstelle phpmyadmin, wo man mal eben nen neuen admin-user mit md5 pw einfügen kann und dann zugriff aufs be hat....

Das ist ja der Witz! Wir sichern eigentlich alle Typo3-Sites unserer Kunden per htaccess ab und da nervte bisher immer das Doppelte-Lottchen *ähm* Login 😉

Ich würde diese Extension allerdings gern richtig rund machen, so dass man da nicht dauernd per Hand nachtunen muss...

CU
maxhb

was ich meinte ist ein separates pypmyadmin, das ja auf vielen systemen parallel läuft und das regelmäßig sicherheitslücken aufweist...

und wie siehts aus die funktion umzuschreiben, wo der sql insert drinsteht?

Hallo,

Vielleicht wäre ein Cronjob die Lösung.

Der Job müßte dann alle X Minuten die User aus Typo3 extrahieren und in die PW-Datei für .htaccess kopieren.

ODER man schreibt eine Extension, die in Typo3 installiert wird. Diese wird dann mit irgend einer Seite aufgerufen (vielleicht durch die "Vielen-Dank!-Ihr Passwort-wurde-geändert!"-Seite). Die Extension hätte dann nur den Zweck die User zu extrahieren und entsprechend als .htaccess-User zur Verfügung zu stellen.

In einer solchen Extension könnte man dann auch einstellen, daß nur User einer bestimmten Gruppe extrahiert werden sollen.