.htaccess oder PHP-Login?

glowy · 31.07.2006, 12:35

Hallo,

frage mich, ob ein simpler .htaccess-Login sicher genug ist um einigermaßen vertrauliche Sachen zu verstecken oder gibt es Gründe, die für einen PHP-Login sprechen? Wir gehen mal davon aus, dass das Passwort sicher genug ist.

Was meint ihr?

webcreate · 31.07.2006, 12:50

.htaccess ist imho mehr aufwand die User zu pflegen, außer du fragst über .htaccess eine mySQL DB ab.
Aber warum kein PHP Login?
Wenn du es richtig sicher haben willst, nutze einen SSL Tunnel.
Ich sehe keinen besonderen Unterschied mit Blick auf die Sicherheit zwischen einem PHP Formular und einer .htaccess Abfrage.
PHP Form hat noch den Vorteil, dass man es schöner in das Design einabauen kann und noch Möglichkeiten, wie PW Reminder und Co. anbieten kann.

Adromir · 31.07.2006, 12:55

Also ich würde spontan sagen, daß der .htaccess - Login schon so ziemlich das sicherste ist. Beim PHP- Login kannst du jedenfalls bei unsauberer Programmierung Sicherheitslücken reinbasteln, die du bei der htaccess- Lösung natürlich nicht hast.

Dafür hat die PHP- Lösung den Vorteil, daß du personenbezogen arbeiten kannst. Während htaccess nur die Möglichkeit bietet Zugriff Ja/Nein, kannst du mit PHP/ MySQL ein abgestuftes Rechtesystem zu realisieren, mit dem einzelnen Usern ein unterschiedlicher Zugriff gewährt wird..

glowy · 31.07.2006, 13:31

Ok, dankeschön für die Hinweise. Ich denke um generell unwichtige, interne Verzeichnisse oder schnell konfigurierte Verzeichnisse zu schützen, ist .htaccess eine gute Möglichkeit, für mehr Funktionen und ein schickes Erscheinungsbild sollte man PHP & MySQL in Erwägung ziehen. Kann man das so stehen lassen?

Adromir · 31.07.2006, 13:42

Für bestmögliche Sicherheit würde ich so nicht unterschreiben. htaccess ist vom Prinzip her das Sicherste. Während dort nur dich Stärke des Passworts ausschlaggebend ist, kommt bei der PHP/ MySQL- Variante noch das Sicherheitsrisiko der Unsicheren Programmierung hinzu (ist es gegen MySQL- Injections gesichert etc..)..

glowy · 31.07.2006, 13:50

Ok, geändert.

Soweit ich das verstanden habe, kann aber ein Bot bei .htaccess unendlich lange ausprobieren, wie das PW ist. Bei PHP kann man das soweit ich weiß nach x Versuchen unterbinden, oder?

Adromir · 31.07.2006, 13:54

Theoretisch ja, praktisch nein..

Leider kann der Bot so ziemlich jede Sicherheitsprüfung aushebeln..

Anzahl der Versuche in Cookies Speichern -> Cookies löschen
Anzahl der Zugriffe von IP xx.yyy.zzz beschränken -> Proxy benutzen und bei jedem Zugriff neue IP verwenden

und so weiter und so weiter..