mehrere passwort möglichkeiten unter htaccess

[Sven Rautenberg]

Moin!

durch zufall hab ich rausgefunden,dass man beim apache unter htaccess geschützen bereichen,wenn
z.B. das passwort "hallowelt" wäre auch mit "hallowelt123" rein kommen würde.
Ist das normal?

welchen AuthType verwendest Du?

Der AuthType ist für die Passwortlänge IMHO irrelevant. Der Apache erkennt, ob die Passworte in der .htpasswd garnicht, mit crypt oder mit md5 verschlüsselt sind. Bei crypt-Passworten sind nur 8 Zeichen relevant, egal welcher AuthType. Bei MD5 sind mehr Zeichen möglich.

Ich habe gerade (mit Mozilla 1.4) "AuthType Digest" ausprobiert, und beim Username ebenso wie beim Passwort war das 9. Zeichen noch signifikant.

Der Username ist ja auch nicht verschlüsselt. Die Frage ist, ob du das Passwort im Klartext oder mit MD5 abgelegt hast.

- Sven Rautenberg