Inloggen op htaccess-protected pages via webform

[Shenzou]

Eerst en vooral een gelukkig nieuwjaar aan iedereen toegewenst!


Normaal gezien krijg je een popup venster waar username en password moet
op ingevuld worden wanneer je pagina's wil raadplegen die afgeschermd
worden mbv een .htaccess-file. Nu zat ik mij af te vragen of het niet
mogelijk was dat popup-venster te vervangen door een webform. Google
leidde mij naar volgende website:
http://www.software-programs.net/website_protection_software/website_protection_tips.html
Kort komt het er op neer dat je een link aanmaakt in de aard van
http://user:password@www.linknaardewebsite
Er zijn nu echter twee dingen die ik zou willen weten:
1) Is deze methode echt wel veilig?
2) Bestaan er misschien betere manieren om hetgeen wat ik wil doen te
realiseren?

Alvast bedankt voor eventuele replies.

[Daniel Tryba]

Shenzou <black_onion@nospamhotmail.com> wrote:
> Normaal gezien krijg je een popup venster waar username en password moet
> op ingevuld worden wanneer je pagina's wil raadplegen die afgeschermd
> worden mbv een .htaccess-file. Nu zat ik mij af te vragen of het niet
> mogelijk was dat popup-venster te vervangen door een webform. Google
> leidde mij naar volgende website:
> http://www.software-programs.net/website_protection_software/website_protection_tips.html

> Kort komt het er op neer dat je een link aanmaakt in de aard van
> http://user:password@www.linknaardewebsite

Deze URL is volgens de relveante RFCs niet legaal. rfc 1738:
'3.3. HTTP

The HTTP URL scheme is used to designate Internet resources
accessible using HTTP (HyperText Transfer Protocol).

The HTTP protocol is specified elsewhere. This specification
only
describes the syntax of HTTP URLs.

An HTTP URL takes the form:

http://<host>:<port>/<path>?<searchpart>'

Dus geen user en passwrod onderdelen, iets wat al sinds den prille
beginne in alle browsers zit maar door MS uit de laatste IE is gepatched
omdat men te lam was voor een zinnige bugfix. De door jou voorgestelde
URL werkt dan ook niet bij de 80+% die IE gebruikt, moderne gecko's en
opera komen met een popup of je wel zeker weet dat je wilt connecten
naar een site met bepaalde credientials.

> Er zijn nu echter twee dingen die ik zou willen weten:
> 1) Is deze methode echt wel veilig?

Niet onveiliger dan dingen via de querystring meesturen, ook hier is het
probleem dat login info zou kunnen worden meegestuurd in een mogelijke
referer header naar sites buiten jou controle. Verder zal bovenstaand
url ook wel te bewonderen zijn in de accesslogs van de betreffende
webserver (maar toegang daardoe heb je natuurlijk volledig onder
controle.

> 2) Bestaan er misschien betere manieren om hetgeen wat ik wil doen te
> realiseren?

Nee, het geen jij wilt is niet te realizeren (een form ipv de standaard
browser authenticatie popup) AFAIK.

[Shenzou]

Daniel Tryba wrote:

>
> Nee, het geen jij wilt is niet te realizeren (een form ipv de standaard
> browser authenticatie popup) AFAIK.
>

Tja, dan zal ik iets anders moeten zoeken, een nieuw jaar zal mij wel
nieuwe ideeën brengen. :)
Hartelijk bedankt voor de uitleg!!

[Nico Coesel]

Shenzou <black_onion@NOSPAMhotmail.com> wrote:

>Eerst en vooral een gelukkig nieuwjaar aan iedereen toegewenst!
>
>
>Normaal gezien krijg je een popup venster waar username en password moet
>op ingevuld worden wanneer je pagina's wil raadplegen die afgeschermd
>worden mbv een .htaccess-file. Nu zat ik mij af te vragen of het niet
>mogelijk was dat popup-venster te vervangen door een webform. Google
>leidde mij naar volgende website:
>http://www.software-programs.net/website_protection_software/website_protection_tips.html
>Kort komt het er op neer dat je een link aanmaakt in de aard van
>http://user:password@www.linknaardewebsite
>Er zijn nu echter twee dingen die ik zou willen weten:
>1) Is deze methode echt wel veilig?
>2) Bestaan er misschien betere manieren om hetgeen wat ik wil doen te
>realiseren?

Een optie is om de pagina middels PHP op te vragen en dan te serveren
aan de bezoeker. Als je merkt dat je een 'access denied' krijgt, dan
vraag je om login en wachtwoord. Dat sla je op in een sessie. Bij
iedere aanroep binnen de betreffende site geef je dat weer mee. Er
zitten echter nogal wat haken en ogen aan: gegevens die zijn ingevuld
in formulieren krijgt het PHP programma te verwerken en zal deze weer
moeten meegeven aan de eigenlijke pagina. Hetzelfde geldt voor
absolute paden in de site, deze zul je moeten ombuigen naar je PHP
programma (Apache: met mod_rewrite bijvoorbeeld). Al met al lijkt het
mij wel te doen, maar makkelijk is het niet.

--
Reply to nico@nctdevpuntnl (punt=.)
Bedrijven en winkels vindt U op www.adresboekje.nl