Board oder Admin Panel unter SSL laufen lassen ?

[Duran]

Hallo,

da wir probleme mit Hacker haben, stellt sich mir die Frage ob es ein wenig Abhilfe schafft das Board ansich, oder auch nur das Admin Panel unter "https" auzurufen.

Wenn es nur das Admin Panel ist, müsste man ja quasi garkein Zertifikat erwerben. Nur der Dienst ansich würde ja reichen.

MfG

[Tal]

gibts keine vorteile

SSL bedeutet nur, dass die verbindung zwischen server und client verschlüßelt abläuft

kaum ein hacker zapft die verbindung zwischen server7client an
dafür ist es zu viel aufwand ( außer im localen netz oder öffentlichen wlan, da reicht ethernal aus um alles zu ausspionieren )

die meisten fehler tretten bei phpscripten selbst oder in der serverconfig(sicherheitslücken)

da bringt dich ssl nicht weiter

es ist nur nützlich wenn man sensible daten überträgt

[Duran]

Nunja,

sensible Daten wären da schon:

Das Admin Passwort.

[h75]

Also ich hab mein AdminCp auch unter https versucht. Allerdings funzt das nicht wirklich, da ja ausser https:// auch http:// links aufgerufen werden. z.b. die glbal.php und die Dateien im /includes/ Verzeichnis. Ich würde es aber auch begrüssen, das via https:// zu machen.

Das was ich zur zeit gemacht habe, ist folgendes. Ich hab via /includes/config.php ein anderes Verzeichnis angegeben fürs Admin Kontrollzentrum. Damit das auch sicher ist, habe ich dort zusätzlich einen .htaccess Schutz. Die Datei .htpasswd liegt aber in einem Nicht Öffentlichen Verzeichnis, damit man die nicht ausspionieren kann.

Beispiel:
.htaccess liegt unter:
/home/vbulletin-germany.com/forum/admin_chef_sessel/.htaccess
.passwd liegt unter:
/home/sonstiges/passes/.htpasswd

EDIT:
Könntest du mir das vielleicht näher erklären? Klar, aber am besten hier im Thread, oder? :rolleyes:

Was gibts denn da nicht zu verstehen? Oder kennst du .htaccess nicht? Lege eine .htaccess an, in die du folgendes einträgst:

AuthType Basic
AuthName "vBulletin Administrator Kontrollzentrum"
AuthUserFile /dein-pfad-zum/vbulletin-forum/.htpasswd
require valid-user Dokumente in einem Verzeichnis mit dieser .htaccess-Datei (oder einem Unterverzeichnis) können erst nach Eingabe eines gültigen Benutzernamen und Passwortes gelesen werden. Der Wert hinter AuthName wird vom Browser in der Dialog-Box für die Passwortabfrage angezeigt und dient gleichzeitig dazu, andere Dokumente mit dem gleichen Schutz zu erkennen und einmal eingelesene Werte für Username und Password ohne erneute Abfrage unmittelbar zu verwenden.

Hinter AuthUserFile steht der Pfad der Passwortdatei, die die Benutzernamen und (verschlüsselten) Passwörter enthält. Sie sieht etwa so aus: /home/name/.passwd
meyer:xm.kPd4VJc3Fo
mueller:eJFQCL8GftDXI Passwort verschlüsseln: https://www.citrin.ch/Passwort.php3Auch die Passwortdatei muß für den HTTP-Server lesbar sein. Gerade deshalb sollte sie niemals in demselben Bereich liegen wie die vom Server bedienten Dokumente, da sonst zumindest die gültigen Benutzernamen lesbar wären. (Aus diesem Grund müssen Sie aber u.U. daran denken, auch das entsprechende Verzeichnis - wie /home/meyer im Beispiel - für den HTTP-Server zumindest suchbar zu setzen, also etwa: chmod 711 /home/meyer Quelle: http://www.uni-duesseldorf.de/Service/Webmaster/htaccess.php3

Weitere Links zu .htaccess
http://www.europeanwebmasters.com/webmaster-articles/german/htaccess.html
http://www.fettetools.de/zugriffsschutz.php4

[Mystics]

da ja ausser https:// auch http:// links aufgerufen werden. z.b. die glbal.php und die Dateien im /includes/ Verzeichnis.
:confused:

global.php und die includes-Dateien werden über die interne PHP-Funktion require_once() aufgerufen, vollkommen unabhängig von http/https usw.