[TYPO3-UG Oesterreich] "Secure" Backend Login

[Christoph Jäger]

Guten Morgen Georg,

ich wäre schwer dafür, dass die HTTP Header Codes bei fehlgeschlagenen Logins nicht 200 sondern 401 zurück geben. Das würde die Arbeit mit Fail2ban erleichtern und man sieht auch gleich im Apache Log welche IP's man ggf. filtern könnte. Zur Zeit kann man sich eigentlich nur auf das login-alert-error.gif beziehen - was eigentlich auch nix hilft, da die Brute Force Angreifer eh keine Bilder laden sondern nur zwei Zugriffe machen:
"GET /typo3/index.php HTTP/1.1" 200 13372 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)"
"POST /typo3/index.php HTTP/1.1" 200 14193 "http://domain.tld/typo3/index.php" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)"

Ich denke die HTTP Header Codes wären ein kleiner Commit für den Core und eine große Hilfe für Sysadmins. 

Danke noch mal an Robert!

LG, Christoph


Am 06.09.2013 um 06:54 schrieb Georg Ringer:

> Hallo Robert,
> 
> muss ich mir anschauen, teile davon würden ja für den core passen
> 
> georg
> _______________________________________________
> TYPO3-at mailing list
> TYPO3-at at lists.typo3.org
> http://lists.typo3.org/cgi-bin/mailman/listinfo/typo3-at

--
abaton - Hosting & Open Source
******************************
Christoph Jäger / Leiter Hosting & Server