Sind Einmalpasswortlisten mit Apache (htacces) möglich?

[mamue]

Ich habe eine Webseite, über die der Zugang zum Internet freigeschaltet wird. Diese Seite ist über ein simples Kennwort geschützt und es machte scheinbar auch wenig Sinn, sich ausgeklügelte Sicherheitsmechanismen zu überlegen, denn das Kennwort wird scheinbar ohnehin frei weitergegeben.
Ist es Möglich, so etwas wie OTP mit der .htaccess zu bekommen? Ich kenne mich da nicht sonderlich gut aus, aber so etwas wie wie die bekannten TAN-Listen, die dann jeder der authorisierten Benutzer bekäme, wäre eine feine Sache. Geht das, hat gar jemand einen Link? Google gibt mir nichts brauchbares bei "otp htaccess apache".

Danke
mamue

[derRichard]

Ich habe eine Webseite, über die der Zugang zum Internet freigeschaltet wird. Diese Seite ist über ein simples Kennwort geschützt und es machte scheinbar auch wenig Sinn, sich ausgeklügelte Sicherheitsmechanismen zu überlegen, denn das Kennwort wird scheinbar ohnehin frei weitergegeben.
Ist es Möglich, so etwas wie OTP mit der .htaccess zu bekommen? Ich kenne mich da nicht sonderlich gut aus, aber so etwas wie wie die bekannten TAN-Listen, die dann jeder der authorisierten Benutzer bekäme, wäre eine feine Sache. Geht das, hat gar jemand einen Link? Google gibt mir nichts brauchbares bei "otp htaccess apache".

Danke
mamue
hallo!

hmm, du kannst es mit auth_mysql versuchen.
bei jedem erfolgreichem einloggen musst dann halt in der datenbank das passwort neu setzen...

//richard

[mamue]

hallo!

hmm, du kannst es mit auth_mysql versuchen.
bei jedem erfolgreichem einloggen musst dann halt in der datenbank das passwort neu setzen...

//richard
Die Idee ist schon mal nicht schlecht. Allerdings hege ich Zweifel, ob das zuverlässig funktioniert. Ausserdem müsste der Anwender schon erfahren, welches otp er zuletzt verbraucht hat.
Vielleicht lässt sich das ja umbiegen. Mir macht es wenig aus, ein servlet zu schreiben aber ich weiß nicht, wie ich von einem servlet oder php aus auf eine ansonsten nicht erreichbare Seite weiterverzweigen könnte. Wenn das ginge, könnte ich wie gewohnt Name und Kennwort eingeben lassen, danach eine Nummer abfragen und die mit der Datenbank abgleichen. Nur wie verhindere ich, dass die Seite, die dann geladen wird, ansonsten nicht erreichbar ist?

Danke,
mamue

[marce]

wir verwenden für Downloads eine solche Servlet-Lösung - die folgenden Seiten werden dann lokal durch das Servlet geladen ausgegeben. Verhindern, dass man die Seiten direkt aufruft geht dann am einfachsten über htaccess oder darüber, dass die Seiten einfach nicht für den Webserver als solches erreichbar sind.

[mamue]

Das werde ich versuchen. Ich lese mich gerade durch die entsprechenden Seiten eines Buches zu Servlets von O'Reilly

Danke,
mamue

[cane]

Würde mich freuen wenn Du nach Realisierung einen kurzen Überblick postest.

Könnte in der Zukunft eventuell interessant für mich werden...

mfg
cane

[Flo87]

Hallo,

ich hab mir dazu damals einfach ein kleines PHP-Skript gecodet, dass ich einfach auf jede Seite includet habe (ähnlich servlet-Lösung).
Wenn da interesse besteht, poste ich es gerne mal hier.
Das ist so ne Art Token-Lösung, sprich ein Passwort ist nur x Minuten gültig, bevor ein neues eingegeben werden musste. Es ist sogar Multi-User-Fähig.

Gruß, Flo