Homepage verschlüsseln/Datenstruktur verbergen

[Ficus]

Guten Tag Kameraden,

ich arbeite seit ein paar Wochen an einer Homepage und diese steht kurz vor der Fertigstellung.
Nun habe ich leider von der Sicherheit bzw. Verschlüsselung der Seite recht wenig Ahnung und deshalb zwei Fragen an euch.

Ich werde folgende Dateien auf meinen FTP-Server hochladen:



1. Gibt es eine Möglichkeit den Seitenquelltext zu verbergen oder zu verschlüsseln?
2. Wenn ich den Seitenquelltext verschlüssele/unleserlich mache, können Besucher der Homepage die Datenstruktur die auf dem FTP liegt herausfinden? Wenn ja, kann man dies unterbinden?

Vielen Dank für eure Hilfe.

PS Falls mein Thema besser in das Forum für Sicherheit passt bitte ich um eine Verschiebung.

 

[HominiLupus]

Nein du kannst HTML nicht "verschlüsseln". Das geht schlicht nicht und ist auch totaler Blödsinn: du willst daß der Benutzer die Homepage ansehen kann, dazu muss er html und Bild-Dateien runterladen und anzeigen können.
Was bitte soll eine "Datenstruktur" sein?

struct {
  char[256] name;
  char[256] place;
}

ist eine Datenstruktur. Deine Homepage ist das nicht.

Wenn du einzelne Dateien für den Benutzer der Seite nicht zugänglich machen willst, kannst du z.B. via ftp Dateiattribute setzen, Teile der Website nur via Basic Auth zugänglich machen, etc.

 

[Bartmensch]

Am Quelltext wirst Du nichts verbergen können, denn der wird ja im Browswer angezeigt.
Ändern aber kann man nur etwas daran, wenn man das Zugangspasswort Deines Zuganges beim Provider kennt.
Die Daten an sich liegen schon verschlüsselt auf dem Server. Vorrausgesetzt Du nutzt auch alle wichtigen aktuellen Protokolle wie PHP 6 und ganz aktuell PHP 7.
Von daher ist die Datenstruktur auch erst zu sehen, wenn Du das Passwort hast.

 

[Madman1209]

Hi,

Vorrausgesetzt Du nutzt auch alle wichtigen aktuellen Protokolle wie PHP 6 und ganz aktuell PHP 7.

PHP ist weder ein Protokoll noch in Version 6 oder gar 7 verfügbar, keine AHnung was du damit sagen möchtest...

VG,
Mad

 

[Elcrian]

Ich rate dir wirklich, dass du dich mal grundsätzlich mit dem Thema auseinandersetzt bevor du irgendetwas online stellst.

Bei HTTP erhält der Client, der Browser, als Antwort den Quelltext deiner Seite als Antwort, sodass er sie darstellen kann. Das HTML wird clientseitig interpretiert. Würdest du den "verschlüsseln" könnte der Browser damit nichts anfangen.

Und: Warum zur Hölle willst du das tun?

Die Verzeichnisstruktur auf dem Server kann man verstecken wenn dies gewünscht ist. Das geschieht bei Apache über ein .htaccess-file, welches auf deinem "FTP" liegt. Darin wird die Option Indexes gesetzt.

user@debian:/var/www# cat .htaccess
Options -Indexes

 

[Snooty]

Die Verzeichnisstruktur auf dem Server kann man verstecken wenn dies gewünscht ist.

Man kann aber natürlich weiterhin im Quelltext Pfade sehen (bspw. zum Bilderordner, Javascripte, Stylesheets o.ä.). Aber man kann einstellen, dass man in der Adressleiste des Browser z.B. nicht einfach www.domain.de/bilder/ aufrufen kann.

 

[Elcrian]

Und das ist genau wo ein Problem wenn man weiß, dass man ./images oder ./js im Webroot hat? (Auch wenn du natürlich Recht hast...)

# ls
403.html 404.html apple-touch-icon-precomposed.png crossdomain.xml css images index.html js legal robots.txt

Bittesehr. Hackt mich!

 

[Snooty]

Ist kein Problem - aber der TO wollt's wissen

 

[Daaron]

Die Daten an sich liegen schon verschlüsselt auf dem Server.

Nein, das tun sie nicht. Warum sollten sie? Man KÖNNTE unter Umständen Inhalte verschlüsselt auf dem Server lagern, damit diese dann aber korrekt angezeigt werden müsste man auch den passenden Schlüssel sowie die Funktion zum Entschlüsseln auf den Server legen. Seeeeehr clever.

Vorrausgesetzt Du nutzt auch alle wichtigen aktuellen Protokolle wie PHP 6 und ganz aktuell PHP 7.

PHP ist kein Protokoll. PHP ist eine Programmiersprache. TCP/IP ist ein Protokoll (oder, eigentlich sogar 2), HTTP ist ein Protokoll. Aber nicht jedes "P" in irgend einer Abkürzung steht für Protokoll.

Außerdem: Es gibt kein PHP 6, wird es auch nie geben. PHP 6 wurde ersatzlos eingestampft. PHP 7 hingegen ist lediglich ein Working Draft, wird irgendwann in einigen Jahren wirklich veröffentlicht. 2016 ist eine sehr optimistische Schätzung.
WENN man eine aktuelle Version sucht, dann wäre das 5.6.2... aber auch das ist Bullshit. Solange die aktuell verwendete PHP-Version aktuelle Sicherheitsfixes erhält (und das tut sie, wenn sie Teil einer Long Term Distribution ist), kann man sie getrost verwenden.

 

[Bartmensch]

Hi,



PHP ist weder ein Protokoll noch in Version 6 oder gar 7 verfügbar, keine AHnung was du damit sagen möchtest...

VG,
Mad

Entschuldige, dass ich nicht korekterweise "SCRIPTSPRACHE" schrieb ^^
Allerdings ist diese durchaus wichtig, schließlich schreiben Provider wie 1&1 ihre Kunden an, damit PHP in eine aktuellere Version aus Sicherheitsgründen gewechselt wird.....


Ach und übrigens:
http://de.wikipedia.org/wiki/PHP

Da findest Du sogar die von mir genannten Versionen...
Nichts für ungut ;-)

 

[Elcrian]

$ php -v
PHP 5.4.4-14+deb7u14 (cli) (built: Aug 21 2014 08:36:44)
Copyright (c) 1997-2012 The PHP Group
Zend Engine v2.4.0, Copyright (c) 1998-2012 Zend Technologies

Habe ich eine Sicherheitslücke?

Nochmal: PHP ist in Version 5.x die aktuelle Variante der Sprache.

 

[MaverickM]

Ach und übrigens:
http://de.wikipedia.org/wiki/PHP

Da findest Du sogar die von mir genannten Versionen...

Dann lies doch einfach mal Deine eigenen Links. Dort steht zu PHP6 und 7 exakt das, was Daaron schrieb.

 

[Madman1209]

Hi,

keine der von dir genannten Versionen ist verfügbar oder nutzbar, ist also einfach Nonsens das zu schreiben und zu empfehlen. Version 6 gibt es nicht und wird es nie geben, Version 7 ist der designierte Nachfolger, den es noch nicht gibt. Version 5.6.2 ist aktuell, mehr gibt es nicht. Wenn ein Hoster (provider ist nämlich schon wieder ein falscher Begriff) eine Aktualisierung empfiehlt dann sicher nicht auf eine Version die nicht existiert.

Und PHP hat mit einem Protokoll absolut null zu tun, genauso wenig wie Skriptsprache etwas mit Protokoll zu tun hat.

Wenn man keine Ahnung hat...

VG,
Mad

 

[Daaron]

@Elcrian:
Da bist du mit Debian 7 ja noch richtig aktuell. Ubuntu 12.04 nutzt noch PHP 5.3, aber eben AUCH in einer durchgepatchten und sicheren Variante, und wird diese 5.3-Implementierung auch noch bis Mitte 2017 supporten. Auch CentOS6 dürfte 5.3 unterstützen, und das auch noch einige Jahre.

Entschuldige, dass ich nicht korekterweise "SCRIPTSPRACHE" schrieb ^^

PHP ist eigentlich keine richtige Scriptsprache, da man zwar nicht vorher explizit kompiliert, die Zend Engine aber sehr wohl binären OpCode erzeugt... und mit einem OpCode Cache diesen sogar vor hält, bis sich die Ursprungsdatei verändert.

Allerdings ist diese durchaus wichtig, schließlich schreiben Provider wie 1&1 ihre Kunden an, damit PHP in eine aktuellere Version aus Sicherheitsgründen gewechselt wird.....

Ja, wenn sie von 5.2 (was nirgendwo mehr Support hat) auf 5.3-5.6 wechseln... Aber da man so oder so nicht für PHP 5.2 entwickeln sollte, sondern MINDESTENS für 5.3, ist das eh hinfällig.

Ach und übrigens:
http://de.wikipedia.org/wiki/PHP

Ja... Selbst mal gelesen? PHP 6 existiert nicht und wird nie existieren. Der Nachfolger des aktuellen PHP 5 wird PHP 7, teilweise auch als PHPNG bezeichnet (Next Gen).

ICH für meinen Teil werden dafür bezahlt, mich mit PHP verdammt gut aus zu kennen. Also solltest DU vielleicht mal die Luft anhalten, wen ich dir was sage.