Passwortschutz

Apache Webserver

Um ein Verzeichnis auf einem Apache Webserver zu schützen, gibt es zwei Möglichkeiten:

• über die zentrale Konfigurationsdatei httpd.conf
• durch Anlegen der Dateien .htaccess im zu schützenden Verzeichnis

Beispiel: Verzeichnisschutz

zu schützendes Verzeichnis:	/privat
Bezeichnung für Benutzer:	Privatbereich
Benutzername:	User
Passwort:	geheim

Die notwendigen Eingaben können mit einem beliebigen Texteditor vorgenommen werden.

Verzeichnisschutz mit httpd.conf

#httpd.conf
#1. Abschnitt: Globale Umgebung
...
#Unterstützung für dynamisch verbundene Objekte (Module)
LoadModule auth_module modules/mod_auth.so
...
#2. Abschnitt: Generelle Server-Konfiguration
<directory /privat>
  AuthType=Basic
  AuthName="Privatbereich"
  AuthUserFile /user/.htpasswd
  require valid-user
</directory>

Das Modul mod_auth (Standardmodul) muss eingebunden sein

Mit AuthType wird die Art der Identifizirung festgelegt. Digest ermöglicht eine gesichterte Übertragung des Passwortes, wird aber von vielen Clients noch nicht untersützt. Basic überträgt zwar das Passwort unverschlüsselt, wird dafür aber von den gängigen Clienst untestützt.

AuthName legt den Namen des geschützten Bereiches fest, für den der Client das Passwort abfragt.

AuthUserFile gibt Pfad und Dateinamen der Passwortdatei an.

Verzeichnisschutz mit .htaccess

Die Zugriffsbeschränkung funktioniert nur dann, wenn diese Möglichkeit vom Webadministrator freigegeben wurde.

#httpd.conf
#1. Abschnitt: Globale Umgebung
...
#Unterstützung für dynamisch verbundene Objekte (Module)
LoadModule auth_module modules/mod_auth.so
...
#2. Abschnitt: Generelle Server-Konfiguration
<directory /privat>
  AllowOverride AuthConfig
<directory>

#.htaccess
AuthType=Basic
AuthName="Privatbereich"
AuthUserFile /privat/.htpasswd
require valid-user

Bei beiden Varianten muss die Datei .htpasswd erstellt werden.

#.htpasswd
User:geheim

Die Datei hat folgendes Format: Benuter:Passwort. Es sind beliebig viele Username/Passwort-Kombinationen möglich.

Läuft der Apache Webserver auf einem Windows-System, so steht das Passwort in dieser Datei im Klartext. Bei Unix-System muss das Passwort vorher mit der Funktion "crypt" verschlüsselt werden.

#.htpasswd
User:41d4XNdz4nA.g

Zum Verschlüsseln kann untenstehendes Formular verwendet werden. Durch Drücken auf "verschlüsseln" wird ein kleines Javascript von David Burry gestartet, dass die Unix Funktion "crypt" emuliert.

Private Homepage bei T-Online

Auf dem Server "privat.t-online.de" sind beide oben vorgestellten Verfahren nicht zulässig. Es gibt aber dennoch eine Möglichkeit, einzelne Dateien mit der Extension .html zu schützen. In der ersten Zeile der Datei muss folgendes stehen:

<!-- ~# Benutzername:gecryptetes Passwort #~ -->, also z.B.:

<!-- ~# User:7Y9Om4PaOdBe. #~ -->

Hier wäre der Benutzername "User" und das Passwort "geheim". Die erste Zeile wird vom Server später gelöscht, bevor er sie an einen Browser sendet.

Wichtig:
Das funktioniert nur bei Dateien mit der Extension ".html", nicht bei ".htm" und auch nicht bei anderen Extensionen! Mehr als eine Username/Passwort-Kombination sind wahrscheinlich nicht möglich.

Passwort verschlüsseln

Dieses JavaScript-Formular ermöglicht die Verschlüsselung von Passwörtern für Unix Systeme (ohne Gewähr):

Passwort im Klartext eingeben:
Passwort verschlüsselt: