alternative Loginmethoden (für Admin-Interface)

[fabio]

Hi

Ich mache mir immer wieder Gedanken, wie man den Login für Seitenadministratoren leichter machen kann.
Passwörter sind entweder zu leicht, oder so schwer, dass man es einfach Speichert.

Ich habe mir gedacht, für die Administration ein Single Site Browser (Firefox Prism, oder Fluid) zu nutzen.

Dabei wollte ich irgendeine Möglichkeit schaffen, um den Login zu umgehen.

Ideen die mir dabei gekommen sind:
eine Lokale HTML-Datei wo das Login-Formular bereits ausgefüllt ist. Fällt weg, Begründung ist wohl nicht nötig

Ne weitere Möglichkeit wäre ebenfalls ein Formular. Mit JS würde eine lokal gespeicherte spezielle Datei zum Server übertragen werden, und wenn die MD5 Checksumme korrekt ist ist der Login angenommen. Problem ist, dass man per JS keine Dateien zum Upload auswählen kann.

Ne Kombination aus beiden versionen:
Eine Lokal gespeicherte HTML Datei mit einem Formular. Eine versteckte Textarea mit einem zB 1024-Zeichen langem Schlüssel der auch auf dem Server gespeichert wird. Bei öffnen der Lokalen Seite wird das Formular automatisch abgeschickt und man wird eingeloggt.


Was für weitere Mögilchkeiten wären Möglich?

Zu erwähnen bleibt noch, dass der Adminaccount nur auf einem Computer genutzt wird und es neben dem SSB Login noch ein normaler Username/Passwort Login über ne normale Domain (seite.ch/admin) gäbe.
Man könnte also weiterhin (zB an einem anderen Computer) den normalen Login benutzen.

[jmc]

Mit javascript kannst du keine Datei zum Server übertragen.

Was denkst du denn ist der Unterschied zwischen deiner 1. und deiner letzten Version?

Was macht es für einen Unterschied ob du das Passwort in einer versteckten Textarea, einem Cookie oder gleich per GET übergibst?

Du könntest das wenn du auf eine lokale Datei automatisch zugreifen wolltest mit Java lösen.

Du könntest auch manuell eine bestimmte Datei hochladen lasse.

Du könntest auch das selbe Prinzip wie bei den meisten E-Bankings anwenden.
Du erhältst eine bestimmte Zichenfolge, wenn du die Seite betritts, du übergibst diese Zeichenfolge einem lokalen generator unnd kopierst dann die neu generierte Zeichenfolge.

[combie]

oder so schwer, dass man es einfach Speichert.

Das kannst du im HTML recht gut verhinden.

Dabei wollte ich irgendeine Möglichkeit schaffen, um den Login zu umgehen.

Ein Dauerlogin-Cookie setzen.
Aber besonders sicher ist das nicht.

[fabio]

Nun es geht mir dabei um folgendes:

Der Administrator (Für den Seiteninhalt, FTP Passwörter etc sind schon andere) sollte einfach das Programm öffnen können, und dann direkt oder mit kurzer verzögerung ins CMS reinkommen.

Ich wollte eben auf Passwörter verzichten, weil gerade bei Laien mit diesen nicht sehr sorgsam umgegangen wird.
Einige wollen ein einfach zu merkendes Passwort (welches womöglich sogar noch ein Wort ist wie man es im Duden finden könnte), andere schreiben die Passwörter sogar einfach auf Post-it Zettel und klebens an den Bildschirm.

Da habe ich mir eben gedacht, machst du zwei Möglichkeiten zum Login.

Einen SSB wo der Administrator gar kein Passwort eingegeben werden muss , und einen normalen Login via namederseite.ch/admin.


Es sollten dabei eben zwei Sachen entstehen:
einen möglichst einfachen aber dennoch sicheren Login per lokame Computer (eben via SSB), und einen sicheren Login via normalem Webbrowser (für unterwegs) mit halt etwas besserem Passwort.

Wenn ich es mit einer Strichliste wie bei den Banken mache ist das ganze wieder "Sinnlos" weil man dann wieder etwas eingeben muss und genau das wollte ich ja verhindern.

Das selbe wie wenn der Administrator die Datei selber auswählen müsste.
Der Computer (also nur der SSB Browser) sollte sich also irgendwie selbstständig Anmelden können.

[jmc]

Einfach und relativ sicher ist es auch wenn du einfach ein längeres Passwort für diesen Benutzer nimmst. Ob du dieses danach automatisch mittels eines Cookies, GET oder POST üergibst macht nicht wirklich einen Unterschied. Sobald jemand Zugriff zu diesem PC hat ist der Zugang unsicher und das kannst du eigentlich mit keiner Variante ändern.
Eine Möglichkeit wäre noch, dass du auf jeder Seite einen neuen öffentlichen Schlüssel übergibst, der für die nächste Seite gebraucht wird (als Cookie beim automatischen login).
Das würde bedeuten du musst dich zu Beginn einmal manuell einloggen und wirst danach jedes Mal mit Hilfe des öffentlichen Schlüssels + deinem Passwort (ein aderes als beim manuellen login!) automatisch eingeloggt.
Das würde bedeuten, dass würde bedeuten, dass es dir weniger schaden würde, wenn jemand an dein Cookie kommt, da es sehr unbeständig ist.

[combie]

Einige wollen ein einfach zu merkendes Passwort (welches womöglich sogar noch ein Wort ist wie man es im Duden finden könnte), andere schreiben die Passwörter sogar einfach auf Post-it Zettel und klebens an den Bildschirm.

Und, was macht dich so sicher, dass sich keine fremde Person an den Rechner setzen kann. Oder gar deinen hübschen SSB Browser klauen kann. Oder einen TCP/IP Monitor ans Netz hängt.


Wie schon gesagt:
ein Dauerlogin Cookie mit stetig wechselnder "tan"
HTTPS aktivieren, gegen Netz-Monitore
Einfacher und besser wird wohl nicht gehen.
Dein "spezial Browser" wird ja auch nix anderes machen können, als die Daten per GET oder POST zum Server zu scheuchen.

PS:
Ich benutze "nur" meinen Lieblings Browser. Und ich glaube weniger, dass sich alle deinen aufzwingen lassen wollen.


Mir wird noch nicht klar, wo bei deinem Vorhaben der Sicherheitsgewinn sein soll.

[fabio]

Nun klar, wenn jemand Zugriff auf den Computer hat, hätte er auch Zugriff auf die Seite.
Aber eben, wenn jemand Zugriff auf einen Computer hat, hat man so oder so bei einem grossen Teil der Computerbenutzer viel mehr Sachen zu machen als ne Biografie in einer Website zu ändern oder ein neues Kunstwerk hochzuladen (Seite für ne Künstlerin).

Bei dem SSB-Login gehe ich nunmal davon aus, dass kein fremder Zugriff auf den Computer vorhanden ist.
Mir ist klar, dass das eine etwas leichtsinnige Annahme ist, aber ist dies der Fall hat man mal ganz andere Probleme (E-Mail Passwörter im Programm gespeichert, Passwörter von websiten im Browser, und all die persönlichen Dokumente).

[combie]

Bei dem SSB-Login gehe ich nunmal davon aus, dass kein fremder Zugriff auf den Computer vorhanden ist.

Dann kannst du aber genausogut davon ausgehen, dass niemand die gespeicherten Passwörter auslesen will/kann/tut.

Entweder gibts keine Angreifer, dann ist jede Vorkehrung sinnfrei.
Oder du möchtest Sicherheit, dann geht wohl kein Weg um ein Passwort und HTTPS drumrum.

[fabio]

...

Ja natürlich, wie gesagt, wenn jemand Zugriff auf den Computer hat ist das ganze System komprimitiert (oder wie man genau sagt), aber dann ist ne kleine Homepage das geringste Übel.

Das mit dem "Lieblings Browser", ein SSB ist auch nur ein Browser, und da die Künstlerin seit eh und je mit Firefox arbeitet wird sie sich an Prism (Mozillas SSB Browser) kaum stören.

Desweiteren soll das ganze Vorhaben ja weniger ein Sicherheitsgewinn sein, sondern mehr ein Bequemlichkeitsgewinn.
Dass die Sicherheit dabei nicht gleichgross ist wie mit einem Passwort à la "Hjs86:9sP!!a" ist mir klar.

Und wer sich solche Mühe geben würde, einen TCP/IP schnüffler anzuwenden, der hat wohl mehr Interesse an OnlineBanking und E_Mail Passwörtern als das von einem Websiten Login.
Zumal man es für einen TCP/IP Schnüffler tarnen könne, und die login-Datei einfach auf dem Server "productactivation.php" nennen kann und den Textarea-Has "ProductID".

Entweder gibts keine Angreifer, dann ist jede Vorkehrung sinnfrei.
Oder du möchtest Sicherheit, dann geht wohl kein Weg um ein Passwort und HTTPS drumrum.

Dann sollten aber auch alle Funktionen zur Passwortspeicherungen in Browsern, FTP-Clients, E-Mail Clients entfernt werden.
Trotzdem nutzen extrem viele Benutzer diese Funktionen.

[jmc]

Wenn das egal ist kannst du wie gesagt mit gleicher Sicherheit und möglichst wenig Aufwand einfach einen Link erstellen, der das Passwort und den Benutzernamen per GET übergibt. Da brauchst du noch nicht einmal eine HTML-Datei zu erstellen.

[fabio]

Ich werds wohl mit der Textarea machen.
Egal.

Ne andere Frage, wie habt ihr denn die CMS geschützt von euren Projekten?
Nutzt ihr alle HTTPS?

[wahsaga]

Ja natürlich, wie gesagt, wenn jemand Zugriff auf den Computer hat ist das ganze System komprimitiert (oder wie man genau sagt), aber dann ist ne kleine Homepage das geringste Übel.

Fein, dann kannst du eine Argumentation gegen das Speichern des Passwortes im Browser ja damit auch gleich beerdigen.

Also, gutes Passwort wählen lassen, einmal eingeben und speichern lassen, fertig.