[Aq]

Küsimus: kui turvaline on .htaccess faili kaudu

[troglodyte]

Kliendi IP leiab HTTP server ise. Ei saada seda klient ega määra seda ka mingi muu ISP poolne tarkvara.
Ma ei muretseks selle turvalisuse pärast.
Palju suurem tõenäosus on, et sinna kaitstud kataloogi saadakse ligi mingi muu kaitsmata kataloogis asuva turvaaukudega/kehvade paroolidega saidi kaudu.

[Andrus Luht]

http://www.inetdaemon.com/tutorials/internet/tcp/3-way_handshake.shtml
http://en.wikipedia.org/wiki/Cross-site_request_forgery

[Aq]

Ehk siis - kas saan õigesti aru, et on täiesti turvaline selleks, et peita selliseid asju, mida ei taha, et suvaline isik näeks, aga mis pole ka otseselt suured saladused? St. asju, mida tahaks lihtsalt "nurga taha" paigutada, et piinlik ei oleks? Kui keegi ka leiab ümbernurga sinna ligipääsu, ei juhtu mul midagi hullu, salajast infot selle võttega ma kaitsma ei kavatse hakata.

[mattiaza]

Jah, selliseks otstarbeks on IP-põhine piirang piisavalt hea.

Et "vale inimene" IP-põhisest piirangust läbi saaks, peab

• lubatud IPde vahemik olema liiga lai - näiteks kogemata kogu mõne Eesti ISP IPde vahemik, mitte ainult sinu kasutajate oma, või
  
• ründaja murrab sisse mõnda sinu kasutaja arvutisse, või,
  
• ründaja murrab sisse mõnda sinu kasutaja ISP ruuterisse.
  

Riigisaladusi sellega ei kaitse, aga kui lubatud IPd on piisavalt täpsed, siis suvalised huvilised hoiab eemal kindlasti.

[Andrus Luht]

Kui tahta piirata isikute ringi, kes ligi pääseb siis Eestis on selleks ID-kaart väga hea vahend. Pelgalt IP'ga piirates ei ole võimalik tuvastada isikut. Kombineerida IP ja kasutajatunnus/parool teeb asja paremaks. Eeldaks see kindlasti ka SSL'itud veebi. Aga nagu öeldud - parima tulemuse annaks ID-kaardiga autentimine.