Apache, PHP: htpasswd

Projektbeschreibung:

Dieses ist eine einfache Nutzerverwaltung mit den Mitteln von htpasswd. Sie wurde geschrieben für den Apache Webserver und nutzt (abschaltbar) die verbesserte Passwort"verschlüsselung" also das Passworthashing des Apache 2.4.

In der Version 4.3 wurden Skripte und CSS so gestaltet, dass die Verwaltung mit sehr restriktiven Content-Security-Policys (die auch gesendet werden) funktioniert. Ferner können zufällige Passwörter jetzt (mit hübschem optischen Effekt...) automatisch erzeugt werden. Der dabei benutzte „Zufall“ geht deutlich über math.random hinaus ist aber (noch) nicht krytopgraphisch sicher. Grund dafür ist, dass der Browser schon beim dritten Passwort sehr lange auf Entropie vom OS wartet. (bemerkt mit Firefox und Chromium unter Ubuntu 18.04.) Außerdem wurde ein base-64 kodiertes Favicon direkt integriert, dieses muss also nicht mehr nachgeladen werden. Für die „Beqemlichkeit und Sicherheit“ bei der Eintragung der Zugangsdaten werden die Möglichkeiten von HTML5 konsequent benutzt.
In der Verion 4.2.1 wurde noch etwas Sicherheit geschaffen. Falls jemand die Ausgabe der PHP-Fehler im Output-Dokument aktiviert hätte, hätte z.B. JS-Code untergeschoben werden können.
In der Version 4.2 wurde einiges Sicherheitsvodoo betrieben. Neu ist aber auch eine Rückfragen beim Umschalten des Verzeichnisschutzes. Ferner ist die Verwaltung auf bestimmbare Benutzer beschränkbar. Die Farben der Anwendung unterscheiden sich, wenn der Zugriffschutz besteht oder nicht. Nicht zu vergessen: Das Skript ist nicht mehr includierbar.
In der Version 4.1 wurden die CSRF-Angriffs-Möglichkeit entfernt, Benutzer durch einen Link bzw. Fake-Grafik (bsp. in einem Email) zu löschen und die "Kosten" für den BCRYPT-Algorithmus sind jetzt konfigurierbar - Falls der Apache und PHP irgend einmal verschiedene Vorstellungen darüber entwickeln, welche Einstellung von PHP benutzt und welche vom Apache akzeptiert wird. Für die Kompatibilät mit denkbaren anderen Anwendungen muss der Benutzername jetzt mit einem Buchstabe beginnen. Die Mindestlänge des Benutzernamens ist konfigurierbar.
In der Version 4.0 wurde die Unterstützung für Apache-Versionen vor 2.4 und unsichere Konfigurationsmöglichkeiten sowie die Möglichkeit für angemeldete Benutzer, sich selbst zu hacken, entfernt. In der Voreinstellung verweigert das Skript den Dienst wenn die Verbindung nicht verschlüsselt ist, ebenso wenn die Konfiguration nicht bearbeitet wurde. Ebenso gibt es jetzt eine Mindestlänge für die Passwörter, die Benutzernamen wurden auf mindestens 3, maximal 255 Buchstaben(ohne Umlaute), Ziffern, das Minus, den Unterstrich und den Punkt beschränkt.

Weitere Informationen finden Sie unter htpasswd-Generator - Eine Lösung für kleine Webs auf fastix.org

Projektdaten:

LastUpdate:	2020-05-14
Version:	4.3
Author:	Jörg Reinholz, fastix WebDesign & Consult Kassel, http://www.fastix.org
Requirements:	Apache 2.4 + PHP 7
Licence:	https://code.fastix.org/lizenz.php
Non-Warranty:	https://code.fastix.org/haftung.php

Dateien und Ordner:

Name:	Letzte Änderung:	Größe:
↑ (Übergeordnetes Verzeichnis)	-	-
.htaccess	2019-08-27 09:44	11 B
.htpasswd	2019-08-27 09:44	10 B
Bildschirmfoto_2020-05-13_15-05-10.png	2020-05-13 13:05	36.79 KB
htpasswd.php	2020-05-14 18:28	26 KB