Sicherheit von Klartext-Passwörtern - Seite 2

29.03.2005, 18:33

Zitat:

Zitat von atreidis

Zitat:

Zitat von coppy

Mein Problem ist, dass mein Skript andere benutzen, die größtenteils von solchen Dingen keine Ahnung haben, ich kann es niemand zumuten, groß im Dateisystem seines Providers rumzustöbern.

Musst Du ja auch nicht. Es ging darum wo DU das Passwort "versteckst".

Zitat:

Zitat von coppy

Das Adminpasswort wird ja nicht per GET übergeben, sondern liegt in einer .php-Datei, die included wird, wo es benötigt wird. diese wird ja beim Aufruf geparst und somit ist es nicht möglich, dass variablen lesbar werden, oder?

Was ist wenn der Parser ausfällt, er nicht aufgerufen wird oder sonst was schief läuft? Wenn der Admin "vergisst" php in der Config einzutragen....

Zunächst wie gesagt, das Skript wird von einigen Benutzern verwendet und zwar auf deren eigenen Servern mit eigenen Passwörtern, also müssen alle diesen Eingriff machen und das traue ich ihnen nicht zu.

Der Admin vergisst das schon nicht, ist bisher nicht vorgekommen, weil meine config.php ja als Vorlage dabei ist mit leeren Variablen, wo sie dann ihre Daten eingeben.
Dass der Parser ausfällt wäre natürlich schlecht, aber wie gesagt, das über .htaccess zu regeln wäre für die meisten User zu kompliziert und ich sehe mich schon jetzt in nem Haufen Supportanfragen...

Wie gesagt, das Adminpasswort könnte ich ja mit MD5 kodieren und mit den mySQL-Daten kann man doch eh nix anfangen, wenn man keinen weiteren Zugriff auf den Webserver hat, oder?

robo47 · 29.03.2005, 20:13

ähm was ist an ner vorgefertigten .htaccess mit diesem inhalt für den user zu schwer?:

Code:

deny from all

denkt jeder wenn er an htaccess hört an passwordschutz?

die datei kann genauso gut und einfach hochgeladen werden wie jede andere datei und wenn der user keine dateien hochladen kann, sollte er die finger von der sache lassen.

und zum thema adminpasswort, wenn derjenige deine mysql-zugangsdaten hat, die ja dann wohl auch in der datei stehen, dann scheisst er wohl auf das adminpasswort, weil das kann er dann selbst verändern :P

mfg
robo47

30.03.2005, 14:38

Eine andere Frage:
Gibt es denn überhaupt die Möglichkeit, ein DB-Passwort nicht so wie ich es mache zu speichern ohne dabei über die htaccess zu gehen?

robo47 · 30.03.2005, 15:14

ups sorry, dachte ich wör in nem anderen thread :P

mfg
robo47

robo47 · 30.03.2005, 15:22

es gibt eignetlich 2 methoden wenn man es ganz sicher haben will

1) sie ausserhalb/unter dem webroot platzieren
3) sie in nem verzeichniss mit ner htaccess versehen entweder mit deny from all oder halt passwortschutz

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
BACKLINK CHECK und SICHERHEIT von zentraler CSV-Datei	ff-webdesigner.de	PHP-Fortgeschrittene	16	27.11.2008 20:25
[Erledigt] Sicherheit erhöhen...	pck1983	PHP Tipps 2008	22	03.08.2008 01:31
Sicherheit in PHP	robydog	PHP Tipps 2008	52	10.05.2008 13:09
externe MySQL und Sicherheit	sportyflo	Datenbanken	2	22.02.2008 11:09
PHP Sicherheit	phpdummi	PHP Tipps 2006	1	27.09.2006 23:31
Erfahrung mit Sessions ( Sicherheit )	GELight	PHP Tipps 2006	6	11.08.2006 17:55
MD5 wieder in klartext?	djrace	PHP Tipps 2006	15	10.02.2006 16:29
Sicherheit...	GELight	PHP Tipps 2006	5	31.01.2006 15:58
Sicherheit aufm Webserver ?	Cyberbob_at_tot	Off-Topic Diskussionen	7	17.10.2005 16:22
Frage zur Sicherheit von GET Variablen	malaga	PHP Tipps 2005-2	3	20.09.2005 13:36
Sicherheit im Web-Interface	nussbaum	PHP Tipps 2005-2	9	29.06.2005 14:10
Sicherheit....	renzo	PHP Tipps 2005-2	1	27.06.2005 15:53
[Erledigt] Thema Sicherheit?		PHP-Fortgeschrittene	5	05.11.2004 05:43
Sicherheit bei Wertübergaben		PHP Tipps 2004	3	14.10.2004 18:06
Sicherheit bei URL-Übergabe	pcschröda	PHP-Fortgeschrittene	25	28.06.2004 16:44


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

29.03.2005, 20:13
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	ähm was ist an ner vorgefertigten .htaccess mit diesem inhalt für den user zu schwer?: Code: deny from all denkt jeder wenn er an htaccess hört an passwordschutz? die datei kann genauso gut und einfach hochgeladen werden wie jede andere datei und wenn der user keine dateien hochladen kann, sollte er die finger von der sache lassen. und zum thema adminpasswort, wenn derjenige deine mysql-zugangsdaten hat, die ja dann wohl auch in der datei stehen, dann scheisst er wohl auf das adminpasswort, weil das kann er dann selbst verändern :P mfg robo47 __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

30.03.2005, 14:38
Gast Beiträge: n/a	Eine andere Frage: Gibt es denn überhaupt die Möglichkeit, ein DB-Passwort nicht so wie ich es mache zu speichern ohne dabei über die htaccess zu gehen?

30.03.2005, 15:14
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	ups sorry, dachte ich wör in nem anderen thread :P mfg robo47 __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

30.03.2005, 15:22
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	es gibt eignetlich 2 methoden wenn man es ganz sicher haben will 1) sie ausserhalb/unter dem webroot platzieren 3) sie in nem verzeichniss mit ner htaccess versehen entweder mit deny from all oder halt passwortschutz __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework