Beveiligen website ?

[Peter Hunt]

Hallo,

Of dit de meest juiste nieuwsgroep is, weet ik niet, maar aangezien
er ook server-side oplossingen zijn gok ik het erop ;-)

Ik zou graag mijn webspace, of in elk geval 1 html pagina zo goed
mogelijk willen beveiligen. Het is allemaal geen top-secret, want dan
moet je het niet op internet zetten maar er staan wat specifieke
dingen op die ik graag met een selecte groep wil delen...

Ik heb begrepen dat .htaccess de meest betrouwbare oplossing is,
het probleem is echter dat ik daar geen gebruik van kan maken met
mijn basic mxstream abbo van XS4ALL.

Verder schijnen er heel veel javascript oplossingen te zijn die er
allemaal heel erg leuk uit zien, maar ik vraag me af hoe waterdicht
dat allemaal is. Javascript is per slot van rekening ook uit te schakelen
en ik vraag me af wat er dan gebeurt.

Vervolgens wil ik die site zoveel mogelijk uit de zoekmachines houden.
De vorige was in een mum van tijd gevonden door Google. In de meeste
gevallen erg handig, maar in dit geval liever even niet :-(

Wie weet raad?

Groeten, Peter Hunt.

[Hans]

On Tue, 9 Sep 2003 08:51:00 +0200,
Peter Hunt <news@peterhunt.zoetermeernet.nl> wrote:

[beveiligen pagina, htaccess kan niet]

> Verder schijnen er heel veel javascript oplossingen te zijn die er
> allemaal heel erg leuk uit zien, maar ik vraag me af hoe waterdicht
> dat allemaal is. Javascript is per slot van rekening ook uit te schakelen
> en ik vraag me af wat er dan gebeurt.

Dan zie je gewoon de source/output van die pagina.

> Vervolgens wil ik die site zoveel mogelijk uit de zoekmachines houden.
> De vorige was in een mum van tijd gevonden door Google. In de meeste
> gevallen erg handig, maar in dit geval liever even niet :-(

Je kunt ze uit de normale botjes houden door gebruik te maken van een
robots.txt

<http://www.searchengineworld.com/rob...s_tutorial.htm>

Vergeet niet dat er spambotjes zijn die zich daar geen reet van aantrekken.

> Wie weet raad?

Echt beveiligen kun je het niet. Wat wel een mogelijkheid is is dat je een
pagina maakt die een punt aan het begin heeft.

..foo.html

Webbrowsers laten deze default niet zien, zeer zeker als het bijvoorbeeld
om apache gaat.

Groet,

Hans

>
> Groeten, Peter Hunt.
>
>


--
http://spamikaze.nl.linux.org/

[[ Martin ]]

Hans schreef ons:
> On Tue, 9 Sep 2003 08:51:00 +0200,
> Peter Hunt <news@peterhunt.zoetermeernet.nl> wrote:
>
> [beveiligen pagina, htaccess kan niet]
>
>> Verder schijnen er heel veel javascript oplossingen te zijn die er
>> allemaal heel erg leuk uit zien, maar ik vraag me af hoe waterdicht
>> dat allemaal is. Javascript is per slot van rekening ook uit te
>> schakelen en ik vraag me af wat er dan gebeurt.
>
> Dan zie je gewoon de source/output van die pagina.
>
>> Vervolgens wil ik die site zoveel mogelijk uit de zoekmachines
>> houden. De vorige was in een mum van tijd gevonden door Google. In
>> de meeste gevallen erg handig, maar in dit geval liever even niet :-(
>
> Je kunt ze uit de normale botjes houden door gebruik te maken van een
> robots.txt
>
> <http://www.searchengineworld.com/rob...s_tutorial.htm>
>
> Vergeet niet dat er spambotjes zijn die zich daar geen reet van
> aantrekken.
>
>> Wie weet raad?
>
> Echt beveiligen kun je het niet. Wat wel een mogelijkheid is is dat
> je een pagina maakt die een punt aan het begin heeft.

Ik denk dat dit wel aardig in de buurt komt:
http://www.leejoo.nl/java/websitetoo.../code_slot.htm

Het idee erachter is dat je de beveiligde website in een map plaatst, die je
bijvoorbeeld 848379 noemt. Via het 'codeslot' zal er dan naar die map worden
gelinkt. 100 procent waterdicht is het natuurlijk weer niet, maar volgens
mij kan er niet zoveel anders met alleen javascript...


--
[ Martin ] - [ http://www.WinampNederlands.nl ]

[Arjen Haayman]

[ Martin ] wrote:
> Ik denk dat dit wel aardig in de buurt komt:
> http://www.leejoo.nl/java/websitetoo.../code_slot.htm
>
> Het idee erachter is dat je de beveiligde website in een map plaatst, die je
> bijvoorbeeld 848379 noemt. Via het 'codeslot' zal er dan naar die map worden
> gelinkt. 100 procent waterdicht is het natuurlijk weer niet, maar volgens
> mij kan er niet zoveel anders met alleen javascript...
Wat is het verschil met gewoon een pagina of directory waar geen enkele
link naar is? Doe ik zelf regelmatig om vervolgens de URL te mailen. Dat
kun je m.i. net zo goed doen als de bovenstaande 'code' te mailen.

'security by obscurity' is denk ik het hoogst bereikbare in deze
configuratie. Je moet er uiteraard voor waken dat er *nergens* een link
naar die pagina ontstaat.


--
Arjen Haayman
-- cogito ergo bicyclo --

[Peter Hunt]

Arjen Haayman <ahaayman@deadspam.com> schreef:

> 'security by obscurity' is denk ik het hoogst bereikbare in deze
> configuratie. Je moet er uiteraard voor waken dat er *nergens* een link
> naar die pagina ontstaat.

Als ik dat kan oplossen door een robots.txt in de betreffende directory
te plaatsen, met daarin :

User-agent: googlebot
Disallow: mijnurl.html

Dan scheelt dat inderdaad een hoop. Ik had dat dus nog niet gedaan
en binnen no-time had onze vriend Google hem gevonden en tevens
geindexeerd.

> Arjen Haayman

Groeten, Peter.

[Arnoud Galactus Engelfriet]

In article <3f5e8995$0$55901$e4fe514c@dreader7.news.xs4all.nl >,
Peter Hunt <news@peterhunt.zoetermeernet.nl> wrote:
>Arjen Haayman <ahaayman@deadspam.com> schreef:
>> 'security by obscurity' is denk ik het hoogst bereikbare in deze
>> configuratie. Je moet er uiteraard voor waken dat er *nergens* een link
>> naar die pagina ontstaat.
>
>Als ik dat kan oplossen door een robots.txt in de betreffende directory
>te plaatsen, met daarin :
>
>User-agent: googlebot
>Disallow: mijnurl.html

Nu kan dus iedereen al jouw 'geheime' URL's te weten komen door
simpelweg je robots.txt te lezen. Af en toe kom je met die truc
best leuke dingen tegen.

Arnoud



--
Arnoud Engelfriet, Dutch patent attorney - Speaking only for myself
Patents, copyright and IPR explained for techies: http://www.iusmentis.com/

[Hans]

On Wed, 10 Sep 2003 07:21:44 +0000 (UTC), Arnoud "Galactus" Engelfriet <galactus@stack.nl> wrote:
> In article <3f5e8995$0$55901$e4fe514c@dreader7.news.xs4all.nl >,
> Peter Hunt <news@peterhunt.zoetermeernet.nl> wrote:

>>Als ik dat kan oplossen door een robots.txt in de betreffende directory
>>te plaatsen, met daarin :
>>
>>User-agent: googlebot
>>Disallow: mijnurl.html
>
> Nu kan dus iedereen al jouw 'geheime' URL's te weten komen door
> simpelweg je robots.txt te lezen. Af en toe kom je met die truc
> best leuke dingen tegen.

Volgens mij kun je ook alleen een directory opgeven, het hoeft niet zo
te zijn dat je daar een index.html gebruikt om de specifieke gegevens
neer te zetten, dat kan ook een weetikveel.html zijn.

Hans
--
http://spamikaze.nl.linux.org/

[Jan Ehrhardt]

Arnoud "Galactus" Engelfriet in nl.internet.www.server-side (Wed, 10 Sep
2003 07:21:44 +0000 (UTC)):

>In article <3f5e8995$0$55901$e4fe514c@dreader7.news.xs4all.nl >,
>Peter Hunt <news@peterhunt.zoetermeernet.nl> wrote:
>
>>User-agent: googlebot
>>Disallow: mijnurl.html
>
>Nu kan dus iedereen al jouw 'geheime' URL's te weten komen door
>simpelweg je robots.txt te lezen. Af en toe kom je met die truc
>best leuke dingen tegen.

Het wordt trouwens ook wel andersom gebruikt.

Disallow: /mailaddresses

Zodat je kunt controleren welke userAgent's je kunt verbannen van je
site.

Jan
--
Look, Ma. No tables - http://www.steenbergen-stichting.nl/enbio.html

[Peter Hunt]

> >User-agent: googlebot
> >Disallow: mijnurl.html

> Nu kan dus iedereen al jouw 'geheime' URL's te weten komen door
> simpelweg je robots.txt te lezen. Af en toe kom je met die truc
> best leuke dingen tegen.

Wie zegt dat er URL's staan in mijn robots.txt ?

> Arnoud

Groeten, Peter.

[Marcus]

Peter Hunt wrote:
> Hallo,
>
> Of dit de meest juiste nieuwsgroep is, weet ik niet, maar aangezien
> er ook server-side oplossingen zijn gok ik het erop ;-)
>
> Ik zou graag mijn webspace, of in elk geval 1 html pagina zo goed
> mogelijk willen beveiligen. Het is allemaal geen top-secret, want dan
> moet je het niet op internet zetten maar er staan wat specifieke
> dingen op die ik graag met een selecte groep wil delen...
>
> Ik heb begrepen dat .htaccess de meest betrouwbare oplossing is,
> het probleem is echter dat ik daar geen gebruik van kan maken met
> mijn basic mxstream abbo van XS4ALL.
>
> Verder schijnen er heel veel javascript oplossingen te zijn die er
> allemaal heel erg leuk uit zien, maar ik vraag me af hoe waterdicht
> dat allemaal is. Javascript is per slot van rekening ook uit te schakelen
> en ik vraag me af wat er dan gebeurt.

Wat wel leuk werkt is wachtwoord vragen, en die dan verwerken in de url
als directorynaam, maar pas na het MD5 encoden ervan, dat voorkomt raden
ook wel redelijk.

Mark

[ST]

On Tue, 09 Sep 2003 08:51:00 +0200, Peter Hunt wrote:

> Hallo,
>
> Of dit de meest juiste nieuwsgroep is, weet ik niet, maar aangezien
> er ook server-side oplossingen zijn gok ik het erop ;-)
>
> Ik zou graag mijn webspace, of in elk geval 1 html pagina zo goed
> mogelijk willen beveiligen. Het is allemaal geen top-secret, want dan
> moet je het niet op internet zetten maar er staan wat specifieke
> dingen op die ik graag met een selecte groep wil delen...
>
> Ik heb begrepen dat .htaccess de meest betrouwbare oplossing is,
> het probleem is echter dat ik daar geen gebruik van kan maken met
> mijn basic mxstream abbo van XS4ALL.
>
> Verder schijnen er heel veel javascript oplossingen te zijn die er
> allemaal heel erg leuk uit zien, maar ik vraag me af hoe waterdicht
> dat allemaal is. Javascript is per slot van rekening ook uit te schakelen
> en ik vraag me af wat er dan gebeurt.
>
> Vervolgens wil ik die site zoveel mogelijk uit de zoekmachines houden.
> De vorige was in een mum van tijd gevonden door Google. In de meeste
> gevallen erg handig, maar in dit geval liever even niet :-(
>
> Wie weet raad?
>
> Groeten, Peter Hunt.

Ik kom nog maar net kijken dus misschien is mijn 'oplossing' niet waterdicht
(naief zelfs?).
Maar binnenkomen op een pagina waar je gebruikersnaam en wachtwoord moet
invullen waarna je pas door kan gaan naar vervolgpagina's. Die
vervolgpagina's zijn pas toegankelijk als er een juiste sessienummer
is (wat pas bekend is als er correct ingelogt is).

www.huppeldepup.nl/index.html kan iedereen zien. Daar dan inloggen.
www.huppeldepup.nl/vervolg.html alleen zichtbaar als de bezoeker er van
via index.html binnenkomt en over het juiste sessienummer beschikt.
Simpelweg www.huppeldepup.nl/vervolg.html intypen geeft dan dus geen
toegang.

Zoiets dus. Of is dit wel heel erg simpel??
Zo ja, hoe is dat dan te 'kraken'?

[Peter Hunt]

ST <stan@tempelman.demon.nl> schreef:

> www.huppeldepup.nl/index.html kan iedereen zien. Daar dan inloggen.
> www.huppeldepup.nl/vervolg.html alleen zichtbaar als de bezoeker er van
> via index.html binnenkomt en over het juiste sessienummer beschikt.
> Simpelweg www.huppeldepup.nl/vervolg.html intypen geeft dan dus geen
> toegang.

Dat is niet waterdicht. De mensen die het juiste wachtwoord weten krijgen
het nieuwe URL te zien en kunnen dat in het vervolg ook rechtstreeks
benaderen. Ze kunnen dat URL zelfs doorsturen naar anderen en dan
zit je helemaal fout... Vervolgens kunnen de zoekmachines "vervolg.html"
ook vinden in indexeren. Er zit immers geen wachtwoord op die pagina,
maar op de link naar die pagina. Dat zou je wel weer kunnen oplossen
door META-tags en/of een robots.txt , maar het eerstgenoemde probleem
blijft daarmee bestaan.

Iedereen overigens bedankt voor het meedenken. In mijn geval zal een
combinatie van robots.txt en een META-tag wel volstaan. In principe
zal 1 vna beiden voldoende zijn, maar je kunt beter de deur ook nog
eens dichttimmeren nadat je hem op slot hebt gedaan ;-))) Een goed
paswoord systeem zou nog beter zijn, maar als hij niet geindexeerd
wordt dan ben ik al tevreden.

Groeten, Peter Hunt.

[ST]

On Thu, 11 Sep 2003 21:41:04 +0200, Peter Hunt wrote:

> ST <stan@tempelman.demon.nl> schreef:
>
>> www.huppeldepup.nl/index.html kan iedereen zien. Daar dan inloggen.
>> www.huppeldepup.nl/vervolg.html alleen zichtbaar als de bezoeker er van
>> via index.html binnenkomt en over het juiste sessienummer beschikt.
>> Simpelweg www.huppeldepup.nl/vervolg.html intypen geeft dan dus geen
>> toegang.
>
> Dat is niet waterdicht. De mensen die het juiste wachtwoord weten krijgen
> het nieuwe URL te zien

Dat klopt.

> en kunnen dat in het vervolg ook rechtstreeks
> benaderen.

Nee, dat kan alleen maar als ze via index.html correct zijn ingelogt.

> Ze kunnen dat URL zelfs doorsturen naar anderen en dan
> zit je helemaal fout... Vervolgens kunnen de zoekmachines "vervolg.html"
> ook vinden in indexeren. Er zit immers geen wachtwoord op die pagina,

Geen wachtwoord, inderdaad. Maar je kan daar alleen komen als je het
sessienummer hebt en aan dat nummer kom je alleen als je langs index.html
komt. Door in te loggen dus.

<knip>

E.e.a. _lijkt_ mij nog steeds waterdicht. Wie helpt me uit de droom? ;-)

[Inca]

ST wrote:
>> en kunnen dat in het vervolg ook rechtstreeks
>> benaderen.
>
> Nee, dat kan alleen maar als ze via index.html correct zijn ingelogt.

Hoe regel je het inloggen? Wat doe je met mensen zonder referrer (waarvan je
dus niet kunt controleren of ze vanaf index.html zijn gekomen)? En referrers
zijn te vervalsen...

> Geen wachtwoord, inderdaad. Maar je kan daar alleen komen als je het
> sessienummer hebt en aan dat nummer kom je alleen als je langs
> index.html komt. Door in te loggen dus.

Hoe regel je dat sessienummer? Hoe genereer je het, waar onthoud je dat, hoe
controleer je het? Je oplossing is in principe waterdicht en is bovendien
ongeveer hoe normale login-systemen werken. Er is echter 1 bezwaar: je hebt
er server-side scripting voor nodig, en dat was nu net het probleem. Als je
een oplossing ziet die volledig client-side kan, dan is het opgelost, maar
ik zie niet hoe je dat moet doen.

Inca