Problem beim Weiterleiten auf SSL-Verbindung

[maxi89]

Hallo zusammen,

ich möchte den Adminbereich einer Seite neben der Authentifizerung des Systems selber zusätzlich mit .htaccess schützen.
Weil ich in der Vergangenheit aber erleben durfte, wie begeistert im Netz meiner Schule die Datenpakate von anderen Schülern Raum gesnifft wurden möchte ich das Ganze über eine SSL-Verbindung mit 256 Bit AES sichern lassen.
Ich habe also jetzt ins Verzeichnis des Adminbereichs eine .htaccess-Datei mit folgendem Inhalt angelegt:

RewriteEngine On
RewriteCond %{SERVER_PORT} !^443$
RewriteRule ^(.*)$ https://www...........de/admin/$1 [R]


AuthUserFile ........./.htpasswd
AuthName "Adminbereich"
AuthType Basic
<Limit GET POST PUT>
require user XXXX XXXXX
</Limit>


Wenn ich also nun das Verzeichnis admin aufrufe, werde ich auch sofort und widerstandslos auf eine SSL-Gesicherte Verbindung weitergeleitet.
Mir geht es aber vorrangig um das unverschlüsselt übertragene Passwort durch den .htaccess-Schutz, denn das wird scheinbar nicht verschlüsselt übertragen.
Wenn ich die Seite aufrufe, werde ich nach Benutzername und Kennwort gefragt. Gebe ich dieses ein, kommt erst dann die Sicherheitswarnung wegen dem selbstsignierten Zertifikat und dann werde ich nochmal nach Benutzername und Kennwort gefragt (welche dann erst verschlüsselt übertragen werden), danach sehe ich auch tatsächlich die Seite.

Was muss oder kann ich ändern, damit das Kennwort bereits über die Verschlüsselte Verbindung übertragen wird (außer die Seite direkt mit https:// aufzurufen - sollen ja andere auch benutzen)?


Danke schonmal

[fuchzga]

Ist zwar auch schon ein bisserl her, sicher hast du schon ein Lösung.
Meine Meinung: Nimm nicht AuthType Basic, sondern AuthType Digest.
siehe:
http://fachschaft.physik.uni-greifsw...ch/apache.html

Before you leap into using digest authentication instead of basic authentication, there are a few things that you should know about.
Most importantly, you need to know that, although digest authentication has this great advantage that you don't send your password across the network in the clear [...]
Next, with regard to security considerations, you should understand two things. Although your password is not passed in the clear, all of your data is, and so this is a rather small measure of security. And, although your password is not really sent at all, but a digest form of it, someone very familiar with the workings of HTTP could use that information - just your digested password - and use that to gain access to the content, since that digested password is really all the information required to access the web site.

The moral of this is that if you have content that really needs to be kept secure, use SSL.

gruss, Karsten