Re: htaccess en htpasswd

[Mathijs <mathijssch@gmail.com>]

2010/3/9 Arjen Bax <arjenbax@googlemail.com>

Op 2010/3/9 schreef Mathijs

> Ten eerste is .htaccess en .htpasswd niet nodig voor authenticatie als je
> ook toegang hebt tot httpd.conf, gebruik dan iets als:
>
> <Directory "/var/www/example.com/htdocs/geheim">
> AuthType Basic
> AuthName "Geheim!"
> AuthUserFile "/var/www/example.com/users"
> Require valid-user
> </Directory>

Volgens mij adviseer je hier om de AuthUserFile file met usernamen en
wachtwoorden neer te zetten onder de DocumentRoot van de virtual host
example.com, zodat dit bestand op te vragen is via url
http://example.com/users. Dit veroorzaakt een gapend gat in de
beveiliging.
Zorg er altijd voor dat administratieve bestanden en andere bestanden
waar voorbijgangers niets in te zoeken hebben, buiten de DocumentRoot
staan.

Uiteraard was dit slechts een voorbeeld, maar met de example.com/htdocs/ in het Directory path impliceerde ik dat dit de DocumentRoot was, en example.com/users valt daarbuiten. Dit is voor zover ik weet de meestgebruikte directorylayout voor webservers.

--
Gr,

Mathijs

--

To UNSUBSCRIBE, email to debian-user-dutch-request@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org