DipMeshSystems.

Apache/httpd 技術文書
技術文書 literature music このサイトについて
SSL Basic認証とIP制限の併用 Basic認証 IPアドレスによるアクセス制限 mod_rewriteの追加 WebDAV Server
ドキュメントルートの適用したいディレクトリに以下のような内容のファイルを配置する。
 AuthUserFile htpasswdを置く任意のディレクトリ)/.htpasswd
 AuthGroupFile /dev/null
 AuthName "Secret Area"
 AuthType Basic
 
 require valid-user

シェルから
  htpasswd htpasswdを置く任意のディレクトリ)/.htpasswd UserName

パスワードを二回聞かれるので、UserNameに対して設定したいパスワードを入力する。
Basic認証はSSL(HTTPS)通信ではなくhttp通信の場合には、プレインなテキストでユーザー名とパスワードが通信されるため、ネットワーク通信そのものを傍受された場合には非常に脆弱です。
ただし、この場合でも他の何の手段も講じないことに比べれば「ウェブ上で誰でも読めるようにしておくよりは」相当ましだとは言えるでしょう。ウェブ上でそのまま読めるようにしておくよりは、と限定した理由は、この手段は本質的には何もしないよりもずっと危険である側面をもっているからです。それは、重要なパスワードをこの方法のパスワードに設定した場合に、もっとセキュリティ的に問題がない部分の攻撃にそのパスワードが使用されることで被害を拡大しうるからです。

「Basic認証 を使用するべきではない」と主張する意見には私は同意しません。これは、物置小屋にかけられた古い南京錠と同じです。これは確かに容易に突破されるセキュリティですが、鍵もかけずに放置するべきではないという意味では、私は「Basic認証くらいは」かけるべきだと考えます。

同時に私は、上記を理由に「指摘される危険性は杞憂であり、Basic認証で十分である」という主張にも同意しません。南京錠と同じように、これはまったく容易な方法で突破されますし、同じ鍵で母屋を開けられるといったコミカルな悲劇を往々にして生みかねないからです。

最も注意するべき点は、この方法は安易ないたずらなどを避けるための手段であって、本格的な防衛手段ではないということを認識し、ユーザー名とパスワードの組み合わせはもっと重要なもののそれとは必ず変えておいた方が良いということです。
そして、望ましくはSSL(HTTPS)通信のみで使用するようにし、可能であればより高度なセキュリティで保護するべきでしょう。


©1998-2014 DipMeshSystems.
this site is powered by OpenSylph / DipMeshSystems.
x