Indice articolo
Impedire l'accesso administrator
Pagina 2

Secondo metodo - Impedire accesso alla cartella administrator tramite l'utilizzo di credenziali nomeutente e password

Se la pratica blocco IP ci pare troppo complicata oppure avendo un IP dinamico e soprattutto utilizzando vari provider per l'accesso alla rete gli IP potrebbero essere troppo numerosi, possiamo sempre utilizzare un sistema che impedisca l'accesso alla cartella admninistrator, e quindi anche alla schermata di login creando delle credenziali di accesso.

Sui server Apache possiamo proteggere una cartella con una password, limitando l'accesso alla directory riservata attraverso i file .htaccess e .htpasswd. E' un sistema molto sicuro che può essere usato per condividere file o informazioni con pochi amici, precludendo l'accesso a tutti gli altri.

Nota: Questo metodo è consigliato nel caso si sia in più utenti a poter aver accesso a quest'area. Naturalmente saremo noi che decideremo chi, come e quando poter accedere creando delle credenziali per l'accesso alla schermata di login. 

Per poter impostare Nome utente e Password per l'accesso alla cartella è necessario prima di tutto inserire le seguenti righe nel nostro file .htaccess e se questo file non esiste crearne uno nuovo e poi creare un file che nomineremo .htpasswd:

Creazione del file .htaccess

Prima di tutto creiamo, o inseriamo le righe che ci occorrono nel file .htaccess che dovranno essere simili a quelle mostrate di seguito

NOTA:E' necessario modificare la path assoluta alla cartella administrator, in cui si trova un file .htpasswd.
In questo file vengono inserite le chiavi di accesso nome utente e la password ( criptata).

Personalizziamo AuthUserFile indicando il percorso assouto del file .htpasswd (es.: /home/mhd/www.sito.it/htdocs/administrator/.htpasswd o /web/htdocs/www.sito.it/home/administrator/.htpasswd).
Il file .htpasswd può essere messo anche in una diversa cartella rispetto a quella da proteggere, anzi, per maggiore sicurezza, può essere sistemata in una directory superiore a quella pubblica. l'importante è specificare il percorso corretto nel file .htaccess

Accanto ad AuthName scriviamo la frase che apparirà nella richiesta di autorizzazione (comprese le virgolette).

Infine require valid-user è la linea che indica che solo gli utenti validi, cioè gli utenti cui è associata una valida password possono accedere. Questa riga può essere anche sostituita con i nomi di singoli utenti:

Compiute queste operazione occorre creare il file .htpasswd, in cui va scritta la lista dei i nomi degli utenti e delle password nel formato nome:password
La password va criptata, e per farlo possiamo usare 3 diversi metodi.

Creazione del file .htpasswd

1 - Comandi via telnet/ssh

Se si ha a disposizione un accesso via ssh, dopo essere entrati nella directory con cd /percorso/htdocs/adminsitrator

(naturalmente dopo occorre specificare il percorso esatto)
eseguiamo il comando

dove, -c serve a indicare che stiamo creando un nuovo utente, e il resto serve a specificare il percorso del file e il nome del nuovo utente. Infine ci sarà chiesto di scrivere per due volte la password del nuovo utente creato.

A questo punto se andiamo a guardare in /percorso/htdocs/adminsitrator/, vedremo che è stato creato un file .htpasswd con una riga in cui c'è scritto nomeutente1: AJjrDSdfd, o qualcosa di simile.

Una volta terminato con il primo utente, per crearne altri non dovremo più scrivere -c. Es:

Queste operazioni faranno in modo che la directory /dir-protetta sia accessibile ai soli nomeutente1 e nomeutente2, se, quando è loro richiesta la password, inseriranno quella corretta.

2 - Installazione di uno script cgi

In mancanza di accesso telnet, si può ovviare installando uno script cgi. Alcuni sono:

• DirectoryPass, che permette di creare il file htaccess e il file htpasswd, e una facile amministrazione degli utenti
• Access Denied version 1.2, che serve a gestire il file htpasswd

 3 - Tool di encryption online

La strada più semplice per generare le password criptate - ma meno conveniente nel caso le modifiche agli utenti siano frequenti - è quella di usare dei tool online, come

• http://www.euronet.nl/~arnow/htpasswd/
• Webxtractions

Scegliendo questa soluzione, per modificare un utente o autorizzarne un nuovo utente, dopo avere generato la password tramite il tool, bisognerà aggiornare il file .htpassword a mano.
Cioè occorrerà scrivere, uno per ogni riga, i nomi e le pass nel formato nomeutente1: AJjrDSdfd
E' possibile che sui alcuni server l'algoritmo per criptare le password sia diverso da quello del tool, quindi il sistema potrebbe non funzionare.

Alcuni esempi di accoppiate nome:password

Qualche esempio da inserire nel file .htpasswd per eventuali prove:

topolino:yu.f449M3WezE (pass. minnie)
paperino:Wcqp9v5AVnwvo (pass. paperina)
paperone:YoKUjXJQbvB3w (pass. nonnapapera)

fonte:  www.minidesign.it