Passwortschutz

[mclb]

Hi,

ist es möglich eine Comet Visu mittels Passwort zu schützen?



Gesendet von meinem Galaxy Nexus mit Tapatalk

[ZeitlerW]

Hallo Marcus,

ich glaube da gabs schon mal eine Diskussion darüber.
IMHO derzeit die einzige sinnvolle Möglichkeit Apache als reverse-proxy, ggf mit zertifikatsbasierte Authentifikation. .htaccess mit username, passwort nervt ein wenig, vor allem wenn man mobil unterwegs ist. Außerdem weiß ich nicht, wie AJAX darauf reagiert.
Der Apache sollte sinnvollerweise auf dem Haus - Linux - Server laufen und nicht auf dem wiregate
Wenn ich mich recht erinnere hat Thorsten Gehring hier etwas für den HS entwickelt. Das müßte für die CV auch funktionieren.

vG
Wolfgang

[dombn]

Ein .htaccess-Schutz bereitet (normalerweise) AJAX keine Probleme. Der Browser schickt die entsprechenden HTTP-Header mit und dann ist das völlig transparent. Schön oder komfortabel ist es natürlich nicht so.

SSL-Client-Authentifizierung geht auch und ist natürlich wesentlich komfortabler. Beim iPad und iPhone können SSL-Zertifikate installiert werden, indem man sie sich im DER-Format (den Public-Key natürlich nur!) per E-Mail zusendet und auf dem jeweiligen Gerät dann anklickt (Quelle). Alternativ kann man wohl auch das iPhone Configuration Utility (windows) verwenden.

Soweit mal theoretisch. Bis ich mal dahin zum testen komme, wird es aber noch ein langer Weg sein. Erst mal müssen wir die KNX-Planung fertig bekommen, die Roh- und Komplett-Installation im Haus. Dann die Basics und irgendwann auch mal die Visu … Bin bis dahin gespannt auf eure Erfahrungen und Berichte.

[netsrac]

Was auch sehr nett ist und ich momentan der einfachheithalber nutze:

AuthName "Restricted"
order deny,allow 
deny from all 
allow from 192.168.42.0/24
allow from 127.0.0.1
AuthType Basic
AuthUserFile /home/www/.auth/homecontrol
require valid-user
satisfy any

Sorgt dafür, dass ich im Lokalen LAN (IP-Bereich: 192.168.42.0-255 sowie localhost) kein Password eingeben muss. Wenn ich "von Außen" auf mein Netz zugreife, dann werde ich nach Login und Password gefragt.


Im Moment sicherlich die schnellste Lösung...

Gruß, Netsrac

[makki]

Klar möglich, ist alles
Dafür braucht man auch wirklich keinen Reverse-SSL Proxy (der ist eher für den HS)

Dazu gibts auch ne umfassende Doku, muss man "nur" einrichten, Beispiele hatte ich glaube ich schonmal gepostet, nachdem das Thema aber - wenn man es richtig! machen will - hübsch schnell kompliziert wird (CA, X.509, .. das das komplex ist, da kann ich nix für) ists halt eher eine "Expertenfunktion"
Dem lighttpd kan man jedenfalls auch so SSL und Authentisierung beibringen, Google liefert dazu myriaden an Beispeilen, Fragen und Antworten

Makki

[ZeitlerW]

Hallo zusammen,

hier eine ganz einfache, allerdings nicht wirklich sichere Konfig für eine Authentisierung:
Erst mal mod_auth aktivieren:

[FONT=Courier New]lighty-enable-mod auth[/FONT]

Ich habe die "basic" Authentisierung gewählt, dazu muß das Konfigfile des Modules bearbeitet werden:

[FONT=Courier New]cd /etc/lighttpd/conf-enabled/
nano 05-auth.conf[/FONT]

Dort editeren:

## Authentication for lighttpd
##
## Documentation: /usr/share/doc/lighttpd-doc/authentication.txt.gz
##                http://www.lighttpd.net/documentation/authentication.html

server.modules                += ( "mod_auth" )

 auth.backend                 = "plain"
 auth.backend.plain.userfile  = "/etc/wiregate/user.conf"
# auth.backend.plain.groupfile = "lighttpd.group"

# auth.backend.ldap.hostname   = "localhost"
# auth.backend.ldap.base-dn    = "dc=my-domain,dc=com"
# auth.backend.ldap.filter     = "(uid=$)"

# auth.require                 = ( "/server-status" =>
#                                (
#                                 "method"  => "digest",
#                                 "realm"   => "download archiv",
#                                 "require" => "group=www|user=jan|host=192.168.2.10"
#                               ),
#                               "/server-info" =>
#                                (
#                                 "method"  => "digest",
#                                 "realm"   => "download archiv",
#                                 "require" => "group=www|user=jan|host=192.168.2.10"
#                               )
#                              )
auth.require                    = ( "/" =>
                                (
                                 "method"  => "basic",
                                 "realm"   => "CometVisu",
                                 "require" => "valid-user"
                               )
                                )

Es muß noch die passwort-Datei angelegt werden. Dazu habe ich /etc/wiregate/ die Datei user.conf angelegt

[FONT=Courier New]nano /etc/wiregate/user.conf[/FONT]

Dort die User und deren Passwort eintragen:

[FONT=Courier New]wolfgang:jwewethwkvxyc[/FONT]

... Wie schon gesagt, das ist keine sichere Konfig für den Zugriff aus dem Internet .... aber es zeigt das Prinzip.

vG
Wolfgang

[henfri]

Hallo,

Wie schon gesagt, das ist keine sichere Konfig für den Zugriff aus dem Internet .... aber es zeigt das Prinzip.

meine Bank macht das aber doch auch so, oder?

Gruß,
Hendrik

[ZeitlerW]

Hallo Hendrik,

für eine sichere Konfig solltest Du zumindest digest - passwort nutzen. Bei meinem Beispiel wird das Passwort plain im Internet übertragen.
Parallel dazu würde ich den lighty auf https laufen lassen. Dazu mußt Du mit openssl Zertifikate erstellen und selbst signieren.
Siehe hier: WikiStart - Lighttpd - lighty labs

vG
Wolfgang

[henfri]

Re: Passwortschutz

sorry, ich hatte übersehen, dass du kein https nutzt.
Hab ich bei mir so (mit s) laufen.

gruss, Hendrik