Hallo Kollegen,
ich betreibe eine Nextcloud in der Version 22.2.5 auf einem hosted System in einem Rechenzentrum.
Ich würde gern das Nextcloudverzeichnis mit einem htaccess Verzeichnisschutz absichern. Richte ich dieses ein, bekomme ich von der Nextcloud eine blaue Seite mit dem Inhalt “Fehler” angezeigt.
Ich habe in alle Logs reingeschaut, die von der Nextcloud und die vom Webhoster. Dort sind keine Einträge enthalten, die ein solches Verhalten erklären.
Kann mir jemand helfen?
Vielen herzlichen Dank und viele liebe Grüße
schildmi
Kannst du mal genauer beschreiben, was du damit erreichen willst? Du kannst da von ausgehen, dass im Nextcloud-Projekt viele Personen mitarbeiten, die weit mehr Ahnung von Sicherheit haben als du. So werden die Verzeichnisse schon entsprechend dem Nutzen per .htaccess abgesichert.
Was einige tun ist das data-Verzeicnis außerhalb vom Web-Ordner zu verlagern, um mögliche unbekannte Sicherheitsprobleme zu umgehen.
‘datadirectory’ => ‘/var/www/nextcloud/data’,
z. B. zu
‘datadirectory’ => ‘/home/nextcloud/data’,
(Ordner muss dem Benutzer www-data (Ubuntu, Debian) gehören)
Hallo devnull,
vielen herzlichen Dank für deine Nachricht. Und bitte entschuldige, daß ich erst jetzt reagiere. Ich stecke bis über beide Ohren in Projekten…
Mein Kunde nutzt die Nextcloud, um mit seinen Mitarbeitern sensible Daten auszutauschen und möchte gern einen zusätzlichen Schutzmechanismus haben. Aufgrund der Branche, in der er tätig ist, sind seine Mitarbeiter nicht wirklich IT-afin und wir können nicht davon ausgehen, daß alle Mitarbeiter ein Smartphone besitzen. Dazu kommt, daß der Kunde nicht wirklich auf Google-Dienste steht. So kommt eine Zweifaktorauthentifizierung leider nicht in Frage.
Das einzige, was mit alternativ eingefallen ist, ist einen htaccess-Zugangsschutz vor die Cloud zu bauen.
Viele liebe Grüße
schildmi
Zweites Passwort macht es nicht sicherer bei Keyloggern usw. 2FA muss nicht über Google-Apps laufen. Aber 2FA über Google-Apps ist viel sicherer als nur Passwörter. Man müsste zwei Angriffe durchführen. Aber scheinbar wurde 2FA wie z.B. TOTP nicht verstanden. Schade.
Hallo @schildmi
TOTP ist ein komplett offener Standard und hat absolut gar nichts mit den Google-Diensten zu tun. Das Ganze läuf komplett offline, und es werden keinerlei Daten übermittelt, um die Einmal-Codes zu berechnen.
Hier zwei OSS Alternativen zur Google App: (beide Apps sind auch im PlayStore erhältlich)
https://f-droid.org/en/packages/com.beemdevelopment.aegis/
https://f-droid.org/en/packages/org.shadowice.flocke.andotp/
Wenn kein Smartphone benötigt werden soll, kann man allternativ auch einen FIDO2 Stick wie z.B. den hier verwenden…
https://www.nitrokey.com/files/doc/Nitrokey_FIDO2_Infoblatt.pdf
1 Like
Hallo bb77,
vielen herzlichen Dank für deine Nachricht. Dann schaue ich mir das Thema TOTP bzw. den Fido2 Stick einmal an.
Viele liebe Grüße
schildmi
1 Like
Schau dieses Video
1 Like
Hi devnull,
vielen herzlichen Dank!
Viele liebe Grüße
schildmi
1 Like