.htaccess

Die Datei .htaccess (engl. hypertext access, dt. Hypertext-Zugriff) ist eine Konfigurationsdatei, in der auf Webrechnern mit NCSA-kompatibler Webserver-Software (z. B. Apache HTTP Server) verzeichnisspezifische Einstellungen vorgenommen werden können. Beispielsweise lässt sich dort ein Zugriffsschutz für ein Verzeichnis oder einzelne Dateien einrichten. Aber auch Fehlerseiten oder interne Verknüpfungen ("rewrite rules") lassen sich hierüber einstellen, ohne den Webserver neu starten zu müssen: Änderungen in der Datei ".htaccess" treten sofort in Kraft. In diesen Dateien vorgenommene Einstellungen gelten im Gegensatz zu zentralen Konfigurationsdateien (z. B. "httpd.conf") nur für das Verzeichnis, in dem sie gespeichert sind, sowie allen Unterverzeichnissen. Sie können in den Unterverzeichnissen jedoch wieder überschrieben werden.

Konfiguration

Es gibt drei Konfigurationsdateien.

.htaccess	Die Zugriffsdatei, die Zugriffsregeln (allow, deny), den Standort der Konfigurationsdateien, die Authentifizierungsmethode und anderes speichert.
.htgroup	Die Gruppendatei, die Informationen über die Mitglieder einer Gruppe speichert. Die Datei wird nur benötigt, wenn eine Gruppenzugriffskontrolle implementiert werden soll.
.htpasswd	Die Passwortdatenbank, welche die Paare aus Benutzername und Passwort speichert.

Damit die ".htaccess"-Dateien Einstellungen verändern dürfen, muss der Apache HTTP Server in der Datei "/etc/apache2/sites-available/default" entsprechend konfiguriert werden.

$ sudo vi /etc/apache2/sites-available/default
<Directory /var/www/>
  Options       Indexes FollowSymLinks MultiViews
  AllowOverride AuthConfig
  Order         allow,deny
  allow         from all
</Directory>

Nach einem Neustart von Apache funktionieren nun die selbst erstellten ".htaccess"-Dateien.

$ sudo /etc/init.d/apache2 restart

Anwendungsbeispiele

Standardauthentifizierung

Die Passwortdaten werden aus Sicherheitsgründen nicht in der Datei ".htaccess" gespeichert, sondern in einer separaten Datei. Diese Datei darf sich auch ausserhalb der öffentlich zugänglichen Webverzeichnisse befinden. In einem geeigneten Verzeichnis wird mit htpasswd (unter Umständen "htpasswd2") eine versteckte neue Passwortdatei (hier ".htpasswd") mit dem Benutzer "mik" erzeugt.

$ cd /home/mik
$ /usr/bin/htpasswd -c .htpasswd mik
New password: 
Re-type new password: 
Adding password for user mik

Für jeden weiteren Benutzer wird die Eingabe ohne den Schalter "-c" wiederholt (der steht für "create" und erzeugt die Datei).

$ /usr/bin/htpasswd .htpasswd abc

Die Passwortdatei (hier ".htpasswd") ist eine Textdatei, welche in zwei durch Doppelpunkte getrennte Felder aufgeteilt ist, den Benutzernamen und das verschlüsselte Passwort:

$ more /home/mik/.htpasswd
mik:fGG7koK2Isa6s

Erstellen der neuen versteckten Zugriffsregelndatei ".htaccess" im zu schützenden Verzeichnis. Die Verwaltung der Nutzerzugriffe für das entsprechende Verzeichnis wird dann ab sofort durch den Apache HTTP Server erfolgen. Dabei werden folgende Parameter eingesetzt:

• AuthUserFile verweist mit vollem Pfad auf den Standort der Passwortdatei (üblicherweise ".htpasswd").
• AuthGroupFile verweist mit vollem Pfad auf den Standort der Gruppenzugriffsdatei (üblicherweise ".htgroup"). Ist keine solche notwendig, kann der Wert auf "/dev/null" gesetzt werden.
• AuthName speichert einen benutzerdefinierte Zeichenkette, die bei Erscheinen des Authentifizierungsdialogs angezeigt wird.
• AuthType bestimmt die Authentifizierungsmethode. "Basic" nutzt die Standardauthentifizierung, welche zwar effektiven Passwortschutz bietet, aber nicht gegen Abhören schützt, da Passwörter hier unverschlüsselt gesendet werden. Zudem besteht kein Schutz gegen einen Brute Force-Angriff.
• Limit kontrolliert, welchen Benutzern Zugriff gewährt wird, welche Art von Zugang sie erhalten können (z. B. "GET", "POST", "PUT") und die Reihenfolge, in der diese Regeln ausgewertet werden. Die folgenden vier Direktiven ermöglichen eine genauere Zugriffskontrolle:
  • require legt fest, welche Benutzer oder Gruppen auf das passwortgeschützte Verzeichnis zugreifen können. Gültige Eingaben sind ausdrücklich benannte Benutzer oder Benutzergruppen oder jeder gültige Benutzer, der in der Passwortdatei ".htpasswd" erscheint. Beispielsweise schränkt "Require user mik" den Zugriff auf den Benutzer "mik" ein.
  • allow kontrolliert, welche Rechner auf das passwortgeschützte Verzeichnis zugreifen können. Mit "allow from rechner1 rechner2" wird der Zugriff für die genannten Rechnern erlaubt. Anstelle des Rechnernamens ist auch eine vollständige oder partielle IP-Adresse möglich.
  • deny kontrolliert, welche Rechner nicht auf das passwortgeschützte Verzeichnis zugreifen können. Mit "deny from rechner1 rechner2" wird der Zugriff für die genannten Rechnern gesperrt. Anstelle des Rechnernamens ist auch eine vollständige oder partielle IP-Adresse möglich.
  • order kontrolliert die Reihenfolge, in welcher der Apache HTTP Server die Zugriffsregeln auswertet. Im Fall von "deny, allow" werden also zuerst die "deny"-Regeln ausgewertet.

$ vi .htaccess
AuthAuthoritative Off
AuthName          mik
AuthType          Basic
AuthUserFile      /home/mik/.htpasswd
require           valid-user
#<Files *.php>
#Require user mik
#</Files>

Eine andere Konfiguration könnte wie folgt aussehen.

AuthUserFile  /home/mik/.htpasswd
AuthGroupFile /dev/null
AuthName      mik
AuthType      Basic
<Limit GET POST>
require user mik
</Limit>

Soll eine ganz bestimmte Datei auf diesem Wege geschützt werden, so kann folgender Trick angewendet werden. Die Datei "xyz.php" wird dabei geschützt, fordert die Eingabe von Benutzername und Passwort und leitet den Nutzer dann auf das ungeschützte Skript weiter.

<meta http-equiv="refresh" content=0; url=/script/xyz.php">

Digest-basierte kryptographische Authentifizierung

In diesem Fall können mit Sniffern daherkommende Angreifer keine Passwörter ernten.

Erzeugen einer neuen Passwortdatenbank mit MD5-Digest-Authentifizierung unter dem Namen ".htdigest" mit dem Benutzer "mik".

$ cd /home/mik/public_html
$ /usr/sbin/htdigest2 -c .htdigest [AuthName-in-.htpasswd] mik

Anpassung der Zugriffsregelndatei.

$ vi .htaccess
AuthUserFile /home/mik/public_html/.htpasswd
AuthGroupFile /dev/null
AuthDigestFile /home/mik/public_html/.htdigest
AuthName mik
AuthType Digest
<Limit GET POST>
require user mik
</Limit>

Weblinks

Herausgeber	Sprache	Webseitentitel	Anmerkungen