Website mit .htacsess absichern plus Verschlüsselung?

[besttuned]

Hallo Leute,

ich habe mich gerade folgendes gefragt. Ich würde gern auf meinem Webserver mir ein File anlegen, welches sensible Daten enthält (Zugangsnummer, Passwörter, etc). Dieses würde ich natürlich vor Zugriff schützen.

.htacsess scheint mir dafür immer noch gut genug zu sein, wenn man das Problem mit dem <limit> Tag richtig angeht.

Soweit sogut, nur leider liegt so ein File (HTML) auf meinem Server, was bei einem direkten Angriff natürlich unverschlüsselt vorliegt auch wenn dieser Fall wohl selten eintreten sollte.

Nun ist die Frage an die Experten da draußen, kann ich irgendwie die Daten in der HTML Datei noch schützen? Eventuell in einer Datenbank speichern oder andere Umwege?

Hoffe ich konnte das Problem einigermassen beschreiben und freue mich auf interessante Antworten oder ein simples geht nicht

Viele Grüße

 

[Reglohln]

Ist deine Domain evtl. auch via https erreichbar? Wenn ja, dann kannst du via .htaccess auch eine Anfrage über eine unverschlüsselte http-Verbindung automatisch auf die https-Verbindung umleiten lassen, sodass man niemals die unverschlüsselte Verbindung nutzen kann. SSL-Zertifikat ist dafür auch nicht nötig.

Somit ist der grundsätzliche Zugriff auf die html-Datei via Benutzername+Passwort geschützt und wenn du dich dann einloggst, ist auch die Übertragung der HTML-Datei verschlüsselt.

 

[sdwaroc]

Tip 1: nginx benutzen

Ansonsten sollte der Zugriff per htaccess ausreichend limitiert sein. Unverschlüsselte Verbindungen würde ich sowieso nicht mehr zulassen. Daher würde ich alle http-Zugriffe auf eine adäquat verschlüsselte https-Verbindung umleiten. Mit letsencrypt ist das kein Kunststück mehr. Das Zertifikat wird von allen nahmhaften Browsern akzeptiert.

 

[besttuned]

Hallo und danke für die schnellen Antworten.

HTTPS versteht sich von selbst und wird auch so umgesetzt. Mein Problem ist ja eher, falls jemand z.B. durch ein Backdoor einer Software doch irgendwie auf den Server kommen sollte reicht das "Kopieren" des HTML Files ja auch um an alles zu kommen. Die Frage ist dann quasi, ob ich irgendwie die Daten selbst auch noch verschlüsseln oder in einer Datenbank ablegen kann oder soll...

Odddddeeerrrrr... Mach ich mir vielleicht zuviel sorgen!^^

 

[NullPointer]

Egal was du mit der Datei machst: Der Server muss ja in der Lage sein, sie dir in dem Format auszuliefern, wie du sie haben willst. Das heißt, wenn du sie in einer Datenbank speicherst, dann muss die Information, wie man sie aus der Datenbank ausliest, auf dem Server vorhanden sein. Wenn du sie verschlüsselst, dann muss der Server sie entschlüsseln können - ansonsten kannst du sie nur im verschlüsselten Zustand abrufen. Sollte es also jemandem gelingen, sich direkten Zugriff auf deinen Server zu verschaffen, dann kann er diese Information finden und damit die Datei entschlüsseln. Wie wahrscheinlich das ist, sei mal dahingestellt.

Ich würde dir aber empfehlen, dich mal mit Passwortmanagern zu beschäftigen - damit lassen sich Passwörter (und andere persönliche Informationen) besser und komfortabler verwalten als in einer HTML-Datei. Ich selbst benutze z.B. 1Password, das kostet aber Geld. Als Open-Source-Software gibt es u.a.KeePassX.

 

[besttuned]

Passwortmanager klingt gut. Als Webinhalt ist halt der Copy/Paste Vorteil, wobei Passwortmanager heute wohl auch schon alles online verwalten

 

[Reglohln]

Tipp: einen Passwortmanager nutzen und die verschlüsselte Datei auf deinen Webspace laden und mittels FTP-Account zugänglich machen. Mit KeePass (ich nutze es mit Windows und Android) kannst du die Datei dann per SFTP-Verbindung einbinden. Die wird dann auch lokal gespeichert und sofern eine Internetverbindung besteht und die Datei geladen werden kann, wird sie auch immer abgeglichen. Sofern keine Internetverbindung besteht, hast du die Datei aber immer lokal auf dem Smartphone unterwegs mit dabei (bei Windows kann ich es dir garnicht 100%ig sagen). Wenn du die Datei dann bearbeitest und abspeicherst, sollten die Änderungen auch online übernommen werden.

Edit: ich kann dir jetzt allerdings nicht genau sagen, in wieweit das mit Windows wirklich klappt, wenn man die Datei bearbeitet. Ich nutze die Datei lokal auf meinem NAS und nur das Smartphone greift auch unterwegs via SFTP darauf zu. Also musst du mal testen, ob die Datei auf deinem Webspace auch synchonisiert wird, wenn du mit dem PC zu Hause etwas darin änderst. Alternativ zum Webspace kannst du die Datei natürlich auf deinem NAS speichern und für den Smartphonezugriff einen FTP-Server einrichten, sofern du diese Möglichkeiten hast.