Hur säkra anser ni .htaccess och .passwrd vara?

[Peetra]

Ja, det här är en brännande het fråga för mig, jag håller en dagbok om saker, som är konfidentiella och de som saken berör trodde först att den var allmänt tillgänglig på nätet. Ena hade sparat lösenordet jag skickat, så då frågade ju webbläsaren inte efter det andra gången h*n skulle in på sidan och ett ganska trassligt missförstånd uppstod. Det slutade med att jag hamnar att göra dagboken i pappersformat. Först var det tal om att kanske skicka den via epost, men jag ville då rakt inte skicka den till epost om de tyckte att lösenordskyddad sajt var osäkert, eftersom det är rakt mycket enklare att ta sig in i nåns personliga epost...

För att komma åt texten jag hade "på nätet" så skulle man ha hamnat att endera knäcka lösenorden som var krypterade och inskrivna i en fil, som inte går att komma åt om man inte har tillgång till min ftp. Lösenorden går inte att dekryptera, såvitt jag vet, hittar ingen dokumentation om att det skulle vara möjligt iallafall. Eller så måste man ta sig in i databasen. platsen där jag hade dagboken innehöll ingen applikation som skulle ha kända fall där någon skulle ha kunnat ta sig in i databasen.

Så vad jag vill höra är nån historia ifall nån kommit rumt en lösenordskyddad plats där det i .htaccessfilen stått ungefär såhär, obs att AuthUserFile alltså int ligger i nån allmän fil, utan adressen it börjar längre in på servern.

AuthName "Ange namn och lösen."
AuthType Basic
AuthUserFile "/..../..../.htpasswd"
require valid-user

Jag tycker det är ett säkert sätt att skydda sina filer, men jag kunde inte förklara varför åt människor som uppenbart är ganska paranoida angående material i elektroniskt format. Eller, nåh, epost tänkte de ju först att sku vara ok. Lekman är ju jag med, men har jag så mycket vetskap, men så lite att det jag vet är en säkerhetsrisk?

Peetra.

[egetforum.se]

Beror lite på, man kan spara lösenordet på olika sätt, men det blir aldrig säkrare än själva lösenordet är säkert med versaler, gemener, siffror osv. Men sparar man med ett "svårt" lösenord så blir det väldigt säkert, speciellt om man väljer -s parametern av htpasswd som betyder:
Force SHA encryption of the password.

[Kail]

Du behöver nog inte oroa dig över säkerheten i Apache utan snarare fokusera på hur du använder Apache. Om man inte har de rätta kunskaperna kan man lätt öppna upp för attacker. det är jätteviktigt att permissions (behörigheter) är rätt satta i filsystemet för annars kan din sajt i värsta fall vara vidöppen. Det är också viktigt att hålla lösenordshashar utanför webrooten eftersom även hashar kan knäckas (slå upp Rainbow Tables på Wikipedia om du vill veta mer). Be någon Linuxnörd om hjälp om du är osäker och köp en bok i ämnet. Sådant här måste man tyvärr betrakta som grundkunskaper hos en webbutvecklare idag för attackerna blir allt smartare för var dag.

Att välja ett bra lösenord är en god start men kom ihåg att epost kan jämföras med att skicka vykort i fråga om skydd av innehåll. Om du epostar ett lösenord till flera personer kan du räkna med att det är så gott som publikt. Informationen som du avser dölja bör därför inte vara av sådant slag som du tvingas hålla hemlig på grund av lagstiftning eller ingångna avtal.