[php] PHP_AUTH_PW

[M. Tiedemann]

Allzu sicher ist die Authentifizierung mit .htaccess nicht, da Username und 
Passwort in Klartext als Bestandteil des URL gesendet werden nach dem Schema 
 
http://user:pass_(at)_www.domain.tld/path/to/dokument 
 
Unterwegs kann das jeder Zugangsbefähigte lesen und Proxies loggen sowas 
mit, entsprechend dürften Geheimdienste, neugierige Provider etc über 
pralle Datenbanken verfügen. Wer Passworte zu einem Zielhost sammelt, 
braucht seinen Router nur kurzes routing advertisen zu lassen, um traffic 
zum Ausspäh-Host an sich zu ziehen. 
Ich würde Authentifizierung über POST-Daten vorziehen, die nicht 
geloggt werden und im statistischen Rauschen untergehen. 
 
Die .htaccess-Authentifikation gilt für ein bestimmtes Verzeichnis und 
alle seine Unterverzeichnisse. Vor deren Inhaber und dem Abrufer sind die 
Daten nicht schutzbedürftig - im Gegenteil. Was der Server dann mit den 
Daten macht, entzieht sich dem Abrufer - herumtratschen wäre aber eher 
kontraproduktiv ;-) 
Im Serverlog erscheint üblicherweise nur der Username; der Admin weiß 
dann ja Bescheid. 
 
Authentifikationsdaten sind nur in der Verknüpfung mit dem URL relevant, 
für die sie benötigt werden und der dann eben adressiert ist. Wenn 
http://ich:geheim_(at)_www.meine-domain.tld eine Zugangsberechtigung auf diesem 
Host beinhaltet, kann aus der Abfrage http://ich:geheim_(at)_www.xyz.tld der 
Host www.xyz.tld nichts entnehmen, weil er den Verwendungs-URL von 
"ich:geheim" nicht kennt. Daher kann man irgendeine Authentifikation auch 
bedenkenlos an einen anderen Server senden. 
Man könnte sogar überlegen, generell irgendeinen Zeichensalat als 
Authentifikation zu senden, auch wenn das gar nicht nötig ist - dadurch 
sind "echte" Authentifikationen nicht so offensichtlich. 
 
HTH 
 
TJ