Dotaz: Jak si zabezpečit webové stránky pro privátní a rodinné používání

[Pavel]

Dobrý večer, chtěl bych se zeptat na možnosti zabezpečení u privátního webu. Mám vytvořeny webové stránky v PHP ale chci je pouze pro soukromé/rodinné účely, nechci aby měla veřejnost přístuk k žádným stránkám. Dočetl jsem se, že jde použit soubor .htaccess, kde se požaduje heslo, dále jsem se dočetl, že jde pomocí php scriptu ověřit IP adresu a udělit pouze vybraným IP adresám přístup. Jinak jsem nenašel vůbec nic. Děkuji předem za případné tipy.

---

---

Odpovědi

[Jеdna]

Ano, použij HTTP autentizaci co poskytuje webserver - buď .htaccess nebo přímo někde v konfiguráku (Apache nepoužívám).

Přístup podle IP bych také nastavoval na webserveru, nebo dokonce na firewallu v systému, a nikoli až v aplikaci.

Další možnost je udělat VPN (OpenVPN, Wireguard…) a vystavit webserver pouze do ní. Ale to už je pro návštěvníky opruz (musí si nastavit VPN klienta).

[Pavel]

Díky za rady. Při použití HTTP autentizaci je při odeslání zadaného hesla v jaké podobě? Jde odchytit? Ohledně toho firewallu dal by jsi tip jak to napsat?

[Jеdna]

Při použití HTTP autentizaci je při odeslání zadaného hesla v jaké podobě? Jde odchytit?

Většinou se používá Basic, kdy se heslo posílá z klienta na server. Ale ty stejně musíš mít kvůli těm datům TLS, takže to nevadí. (bohužel, kvalitnější přihlašování na webu není vyřešeno - existují sice klientské certifikáty, ale pro uživatele je strašně složité to nastavit a UX je příšerné)

Ohledně toho firewallu dal by jsi tip jak to napsat?

Z hlavy a nezkoušeno:

iptables -A INPUT -p tcp --dport 443 -s 1.2.3.4 -J ACCEPT
iptables -A INPUT -p tcp --dport 443 -J REJECT

[j]

Klientsky certifikaty fungujou naprosto vpohode a zadnej problem snima neni ... krom toho, ze se neda "odhlasit". Na co ve skutenosti narazis je to, ze pokud bys to chtel resit v nejakym vetsim meritku nez jednotlivci, tak neexistuje zadnej rozumnej zpusob jak ty certifikaty tem lidem vydistribuovat, protoze to bys musel omezit prostredi na jeden konkretni browser, jinak se z toho zvencnes. A to mluvim o desktopu, na debilnich founech je to prakticky nogo.

Pri ty "jednotlivcovy" variante pak narazis na to, ze ti nekde nejakej debil prohlasi, ze sha1 neni dost dobry, a tvoje certifikaty prestanou fungovat.

Jinak nevim co ti prijde slozity na tom naimportovat certifikat do browseru, coz je vse co potrebujes aby to fungovalo.

---

Dete s tim guuglem dopice!

[luis]

Z hlavy a nezkoušeno:

iptables -A INPUT -p tcp --dport 443 -s 1.2.3.4 -J ACCEPT
iptables -A INPUT -p tcp --dport 443 -J REJECT

Šlo by to doplnit přímo do této tabulky? Pokud ano, jak prosím.. https://postimg.cc/4HhpmzPG

[MP]

Pokud na to chteji zvenku pristupovat i pres mobily, tak je jakkekoliv omezeni na IP adresu nesmysl.

[xxl]

Například: Nastav na serveru https a vyžaduj ho při spojení. Defaultní stránku (např. index.php) napiš tak, aby se zobrazovala jako prázdná. A své stránky umísti do podadresáře s nestandardním jménem. Takže adresa tvých soukromých stránek bude např. https://www.domain.tld/topsecret7854/.

Nestandardním top adresářem zlikviduješ snahy téměř všech otravů, snažících se na tvém serveru nalézt stránky s nějakou dírou. A tím https zajistíš, že ti po cestě od tebe k serveru neodposlechnou, kam si ty chodíš brouzdat.

[Jеdna]

Tajná URL není moc dobrá, například všemožné uzavřené chatovací aplikace a mailservery poslané URL stahují a je jen otázka času než to zaindexuje Google.

[Peter Golis]

To je v poho. Aj tak niekto z rodiny pošle nejakému známemu rovno URL s kredencami do Gmailu. A ten sa určite neindexuje, fakt. Čestné pionierske.

[Peter Golis]

Keby išlo len o zdieľanie fotečiek vnuka aby ich videli starí rodičia, tak je jednoduchšie voči sebe synchronizovať 2x NAS (s vedľajšou funkciou HTPC). Človek tak rovno dostane zálohu dát v inom regióne.

Doplnkov pre web server ktoré poskytujú webové galérie (aj s overením užívateľa, alebo zdieľaním galérií) je určite kopec. Ale obávam sa že to aj tak niekto z rodiny pošle na rajce.idnes.cz do galérie ktorá bude verejne prístupná.