externer Dateizugriff - wie Datei schützen?

sw-student schrieb

.htacces funzt auch. Aber noch ne Eingabe von user/passwort kann ich den leuten nich zumuten.

Sehe ich ja auch so, deshlab: ein Passwort in der .htaccess-Datei ...

sw-student schrieb

Letzeres klingt gut, lässt sich wohl aber mit ner Stange von Dateien nicht realisieren. Wär doch mal ne nette Idee für ne Extension dies zu automatisieren.

Naja, das ginge doch auch wie opben beschrieben, nur hätten dann alle Dateien das gleich Download-Passwort, was die user ja aber nicht eingeben müssen, da Du den Link gleich entsprechend anlegen könntest 😉
Letztendlich finde ich die Lösung aber auch "halb gar". So in der Art, wie das die NF-Download-Extension macht ist es schon besser, vielleicht sollte man da einfach die Möglichkeit integrieren, komplette Verzeichnisse zu schützen ...

CU
maxhb

yee_download, unsere Lösung?

Adds a secure download element for typo3. Solution for group-permission-based Downloads like needed in intranet-systems. -> just a peace of code at the moment!

Naja, soweit ich das gesehn hab, können Dateien nur aus dem Fileadmin verlinkt werden. Der Link im Frontend wird zwar verschleiert, aber was nützt's, wenn das File immer noch im Fileadmin steckt? Zudem muss pro Datei ein Datensatz angelegt werden. Also äußerst umständlich.

sw-student schrieb

yee_download, unsere Lösung?

Wie der Autor schon schreibt: ... just a peace of code at the moment!
😉

CU
maxhb

Hallo,

das beruhigt mich ja, dass das Problem noch mehr Leute haben 🙂 .

Ich sehe folgende Problematik:

- File-Uploads sind grundsätzlich nicht geschützt
- Images sind nicht geschützt

Wenn jemand aus der High-Security-Gruppe einen lustigen Tag hat und fröhlich Links auf sensitive Dokumente verschickt, so ist das ziemlich bedenklich, zumal das Typo3-Rechte-System dem Autor den Eindruck vermittelt, es sei alles wunderbar geschützt. In der Realität sieht es so aus, dass in typo3 momentan jeder sämtliche Dateien sehen kann, ob er eingeloggt ist, oder nicht.

Meiner Meinung nach gibt es nur eine Lösung, welche ja auch in NF Downloads und meiner Lösung yee_download verwendet wird:

1. Upload-Ordner anlegen (am besten außerhalb htdocs)
2. Upload-Ordner im Apache sperren ("deny from all" sollte reichen)
3. Typo3 so umbauen, dass Uploads in den speziellen Upload-Ordner hochgeladen werden und später im Frontend per php-Funktion ausgeliefert werden.

Idealerweise sollte das Ganze im Hintergrund geschehen, d.h. das typo3-Filelink modul sollte per Extension diese Funktionalität automatisch bekommen (gibt da ziemlich gute Möglichkeiten mit wraps zu arbeiten).

Ich implementiere dieses Sicherheitsfeature momentan für ein großes Intranet wo sensitive Daten mit typo3-Gruppenrechten spezifisch geschützt werden müssen.

Die nächste Version von yee_download werde ich nächste Woche hochladen und sie wird möglichst viele ungeschützte Inhalte absichern (inkl. Filelinks, Bilder, RTE-Images,..), so dass dieses Problem zumindest eingegrenzt wird.

Falls ihr noch Anregungen zum Thema habt, gehe ich gerne darauf ein.

-mad[/u]

Hallo,

hab auf diversen Seiten gesehen, dass der fileadmin Ordner wohl schützbar ist:

http://gruenerp-li01.fra.de.colt-isc.net/fileadmin/
http://www.hamburg-handball.de/fileadmin/

Wie geht sowas?

Hi sw-student,

du kannst den Ordner mit Apache nach außen blockieren (hat nix mit typo zu tun).

Einfach ne .htaccess datei in den Ordner legen, den du schützen möchtest und "deny from all" reinschreiben.

Das löst aber nicht das Problem, dass unter uploads/ und typo3temp immer noch alles ungeschützt ist.

Hi!

madhair schrieb

du kannst den Ordner mit Apache nach außen blockieren (hat nix mit typo zu tun).
Einfach ne .htaccess datei in den Ordner legen, den du schützen möchtest und "deny from all" reinschreiben.

Statt "deny all" könnte man dort auch einen Passwortschutz unterbringen. Dann könnte man auf die Dateien mittels URL aus einem geschütztzen Bereich (FE-Login) verweisen:

<a herf="http://username:passwort@www.urhost.de/fileadmin/einVerzeichnis/eine.datei" />

Solch ein Passwortschutz ist aber auch nicht perfekt, jedoch sehr simpel zu installieren ...

CU
maxhb

'Deny from all' in der .htaccess ist nicht ganz so mein richtiges Ding, da ja der Zugriff auf die Dateien generell verwehrt wird.
Hab jetzt mal mit 'Options -Indexes' in der .htaccess zumindest das Browsing in fileadmin deaktiviert. Vermute, dass es so auch auf der Grünen Punkt Seite gelöst wurde. Wenn man den direkten Pfad zur Datei hat, kann sie ja aufgerufen werden, siehe:
http://www.gruener-punkt.de/fileadmin/user_upload/Seiteninhalt/Bilder/grpunkt_1.gif

Hmmm indexiert google etc. nicht auch pdf´s doc´s usw. ? sprich auch dateien im fileadmin ordner die google nicht ansprechen dürfte oder ?

Hi!

Zinner schrieb

Hmmm indexiert google etc. nicht auch pdf´s doc´s usw. ? sprich auch dateien im fileadmin ordner die google nicht ansprechen dürfte oder ?

Suchmaschinen erfassen alles, was
1. per robots.txt Datei freigegeben wurde (sollte so sein)
2. per Link erreichbar ist, sonst können Sie es nicht "sehen"
D.h., Dateien auf die von Deiner normalen Seite aus kein Link erfolgt werden nicht erfasst. Sollte ein Link in einem geschützten FE-User Bereich stehen, dann macht das nichts, da die meisten Suchmaschinen wohl kaum das Passwort kennen 😉

CU
maxhb

Hallo zämma,

das geschielderte problem was ich hier sehe ist, ist eigentlich ganz einfach zu lösen. im root verzeichniss eures webservers muss als erstes eine .htaccess datei angelegt werden mit dem inhalt
DENY FROM ALL. Dadurch werden alle verzechnisse und files durch den webserver geschützt. wenn man in einem weiteren unteren verzeichniss wie z.b. /fileadmin/test/XXX diese beschränkung aufheben muss hier wieder eine neue .htaccess abgelegt werden die denn schutz aufhebt. In der httpd.conf muss die funktion generell erstmal zugelassen werden das der webserver die .htaccess datei überhaupt liest, dazu den wert AllowOverride von None auf All setzen.

Das eigentliche problem was ich hier noch sehe ist die extension selbst. ich würde euch die extension MOC_FILEMANAGER empfehlen, mit dieser besteht die möglichkeit eingene ordner anzulegen files up und down zu laden etc..... dazu muss man jedem ordner eine benutzergruppe zuordnen, diese wird dem benutzer selbst zugeordnet. man kann zusätzlich eine benutzergruppe anlegen die nur lesen darf und eine weitere die lesen und erstellen kann. mit dem richtigen login (eine anmeldung genügt) kann entsprechend gesteuert werden wer was darf ohne sich mehrfach anmelden zu müssen.

ich habe das auf meiner seite ebenfalls so eingerichtet und das funtzt super prächtig!!!!!

wer will kann sich das ansehen unter www.tw-nz.de, ein eigener typo3 bereich ist in vorbereitung mit entsprechenden dokus / faqs!!!!!

soo long.. be happy!!!!!!!!!!