Visu/Admin: UserID + PW in der URL ausblenden

[Gresse]

Hallo zusammen,

habe dazu mittels SuFu nichts gefunden:
Wenn ich den kompletten Zugang zu einer Visu-Seite im Browser speichere (also ein Aufruf von z.B. http://192.168.9.99/visu/?visu=1&log...er&pass=testpw), dann erscheinen UserID & PW zum einen in diversen Logfiles (Browser, Proxy, ...) und zum anderen in der Adresszeile des Browsers (nicht wirklich überraschend, denn dort hatte ich es ja eingegeben - allerdings erscheint es dort auch, wenn der Aufruf z.B.aus einem Lesezeichen heraus erscheint).
Jetzt muss natürlich jeder selbst beurteilen, ob er auf seinen Visu-Tablets im Haus den Login bei jedem Neustart von Hand vornehmen möchte (sicherer) oder die Zugangsdaten fest hinterlegt (komfortabler).
Mir wäre es noch lieber, wenn die Zugangsdaten zwar "irgendwie" hinterlegt sind (z.B. Start-Script auf dem Tablet), aber in der Adresszeile dann eben nicht mehr erscheinen.
Also konkret:
Ich starte den Browser via Skript mit der Adresse http://edomi/visu/?visu=1&login=Testuser&pass=testpw
der Browser zeigt mir in der Adresszeile (sofern eingeblendet) aber nur http://edomi/visu/ an.
Das ließe sich serverseitig (also auf dem Apache, der auf dem Edomi-Server läuft) via RewriteCond lösen, siehe z.B. https://www.drweb.de/php-und-htacces...zeichnisnamen/
Man könnte bei der Gelegenheit auch gleich so tun, als sei jede Visualisierung ein eigenes Verzeichnis, also z.B.
http://edomi/visu/?visu=1&login=Testuser&pass=testpw -> http://edomi/visu/TabletFlur
http://edomi/visu/?visu=2&login=Hausherr&pass=testpw -> http://edomi/visu/SmartPhoneChef
http://edomi/visu/?visu=3&login=Domina&pass=testpw -> http://edomi/visu/SmartPhoneChefin
usw. - eben die Namen, die bei den Visualisierungen hinterlegt sind.

Bevor ich das Rad neu erfinde:
Hat das schon jemand gemacht?
Kommt das vielleicht sowieso im nächsten Edomi Release?
Völlig unnötig, weil...?

Vielen Dank schonmal für alle Rückmeldungen!

[givemeone]

Ich mache sowas: "http://edomi/visu/TabletFlur" über nginx.
Ist aber das selbe... funktioniert nett! Kann ich also durchaus empfehlen...

[Gresse]

"nett" steht hier also nicht für das schwäbische "nicht", sondern tatsächlich für "nett" im Sinne von "gut", richtig? ;-)

Wie darf ich mir das dann vorstellen?
nginx fungiert als Proxy
der Aufruf der Visu-Seite erfolgt mit UserID&PW
nginx ruft im Hintergrund Edomi auf (inkl. UserID & PW)
zeigt aber dem Browser nur die Seite ohne UserID & PW
korrekt?

Wo läuft dann der nginx?

[givemeone]

"nett" steht hier also nicht für das schwäbische "nicht", sondern tatsächlich für "nett" im Sinne von "gut", richtig? ;-)

Wie darf ich mir das dann vorstellen?
nginx fungiert als Proxy
der Aufruf der Visu-Seite erfolgt mit UserID&PW
nginx ruft im Hintergrund Edomi auf (inkl. UserID & PW)
zeigt aber dem Browser nur die Seite ohne UserID & PW
korrekt?

Wo läuft dann der nginx?

Richtig!
- ja
-nein. Über /visu?ios, und nginx mapped /visu?ios auf userID & PW, also sieht weder der browser noch der User in der URL das PW.

nginx läuft am HOST, EDOMI im Docker auf dem selben Host.

[uzi10]

geht das nicht einfacher und ohne zusätzlicher Software? Oder muss man heutzutage als Elektriker schon alles (IT Welt) können?

[rdeckard]

Unter iOS kann man zumindest die URL (Logindaten) als App abspeichern. Dort wird dann die URL nicht mehr angezeigt. (In Logs sieht man es natürlich trotzdem)
https://iphone-tricks.de/anleitung/2...-am-homescreen

[Lonie]

Wenn du dich mit user/passwort direkt einloggen willst muss dies nunmal als GET Parameter übergeben werden. Ich weiß nicht wie du das jetzt aus allen Logs entfernen willst. Eventuell kann man den Logincookie eine lange Haltbarkeit geben und muss dann für "Jahre" die Credentials nicht mehr eingeben

[NilsS]

Was ist der Sinn des Versteckens? Also egal ob du es jetzt hinter einem Reverseproxy (nginx) versteckst und dann die "http://edomi/visu/TabletFlur" in den Logs hast oder das user/pass ... wenn beides dann zum Zugang zur Visu führt.

Wenn es die Visu unterstützt kann man Logindaten mit Javascript im LocalStorage des Browsers speichern, damit steht es schonmal nicht in der History ... aber auch der Localstorage lässt sich natürlich auslesen. Um zu verhindern das das Passwort letztendlich im Klartext übertragen wird (egal wo es nun steht oder ob es direkt die Einstiegsurl ohne PW ist) hilft nur die Seite mit SSL (TLS) zu verschlüsseln. Dann steht auch in Proxy Logs nichts mehr von dem user/pass drin da der Teil erst übertragen wird wenn die verschlüsselte Verbindung zum Server bereits aufgebaut ist.

Oder geht es hier NUR um die Schönheit der URL?

Cookies sind eigentlich tot.

[Lonie]

Cookies sind tot? Wenn ich mich so umsehe was das Forum an Keksen setzt gibt es sie sehr wohl noch. Du darfst mich aber gern auf den aktuellen Stand bringen wie man das heutzutage macht.

Das Problem dass, egal ob mittels http oder https, GET Parameter in den Server- und eventuellen Clientlogs sichtbar sind ändert aber auch dadurch nicht.

[NilsS]

Klar gibt es cookies ... aber lass es mich besser ausdrücken ... Cookies zur Authentifizierung.
Um Daten lokal im Browser zu speichern nutzt man LocalStorage und SessionStorage https://wiki.selfhtml.org/wiki/JavaScript/Web_Storage

[Gresse]

Was ist der Sinn des Versteckens?

Dass nicht jeder, der einem bei Konfigurations-/Wartungsarbeiten oder beim Zugriff via Smartphone + Brwoser etc. über die Schulter schaut, sofort UserID + PW sieht.
Prinzipiell erreicht man das aber auch, indem man ein paar Dummy-Variablen davor und dahinter mitgibt, dann steht da z.B. http://edomi/visu/?visu=1&bla=blubb&borussia=dortmund&meier=schulze& login=Testuser&pass=testpw&so=weiter in der Adresszeile -> Ziel erreicht.