Workaround: Backend-Login bei Typo3 (vers. 4.5.x) nicht möglich

Das Problem

Nach reibungsloser Installation von Typo3 (4.5.4) auf einem Windows Server (2003) mit PHP 5.2.6 wollte ich mich ins Backend von Typo3 als Standard-User (admin / password) einloggen. Doch zu meiner Verwunderung bekam ich im Login Fenster stets folgende Meldung angezeigt:

Ihr Anmeldeversuch war nicht erfolgreich. Bitte stellen Sie sicher, dass Ihr Benutzername und Passwort korrekt sind. Groß-/Kleinschreibung wird unterschieden.

Erfolglose Versuche

• Mehrmaliges Anlegen eines neuen Administrators über das Backend
• Bereinigen der Installationsverzeichnisse / Datenbanktabellen und Neuinstallation (vers. 4.5.0, 4.5.2, 4.5.4)
• Löschen aller Dateien im Temp-Verzeichnis und Temp-Dateien in typo3conf
• Testen in verschiedenen Standard-Browsern (Cache/Cookie- Problematik)
• Anlegen einer neuen Domain in Plesk
• Löschen des Administratorpasswortes (Hashwert) in der be_user Tabelle der MySQL Datenbank
• Verzicht auf den UTF-8 Zeichensatz

Die (vorrübergehende)  Lösung

Nach unzähligen erfolglosen Versuchen stieß ich im Typo3 Install-Tool  unter All Configuration auf folgende Einstellungsmöglichkeit:

loginSecurityLevel  ($TYPO3_CONF_VARS['BE']['loginSecurityLevel'])

Mit dieser Option kann festgelegt werden, welche Authentifizierungsmethode Typo3 beim Login im Backend verwenden soll. Standardmäßig ist hier nichts eingetragen, wodurch das Passwort als MD5- Hashsumme in die Tabelle be_user eingetragen wird. Mit zwei einfachen Schritten lässt sich  Backend-Bereich von Typo3 wie gewohnt erreichen:

1. Trägt man bei ['BE']['loginSecurityLevel'] den Wert ‚normal‘ ein, so wird auf die Bildung des Hashwertes  bei der Authentifizierung verzichtet.

2.  Als logische Folge daraus muss nun in der Datenbanktabelle „be_user“  für das Passwort statt der Hashsumme der eigentliche Wert eingetragen werden (für den Standarduser „admin“  somit  „password“). Das funktioniert am einfachsten über das PhpMyAdmin Tool.

Nun Sollte der der Login wie gewohnt funktionieren.

Folgerungen und Sicherheitsproblematik

Das beschriebene Workaround ist im Hinblick auf entstehende Sicherheitsrisiken nicht die Premiumlösung, da das Passwort nun „unverschlüsselt“ in der Datenbank zu finden ist. Allerdings muss man solche Risiken auch immer ein wenig realtivieren:

Zum einen handelt es sich bei der standardmäßig verwendeten Authentifizierung (MD5) nicht um eine Verschlüsselung im eigenen Sinne. Wer zur Pseudo-Verschlüsselung MD5 mehr wissen möchte, dem empfehle ich diesen Link. Somit wird weder das im Browser eingegebene Passwort auf dem Weg zum Server standardmäßig verschlüsselt noch wird es verschlüsselt in der Datenbank abgelegt.

Hat ein Hacker es zum anderen wirklich auf die das Typo3 System und somit die Datenbank  abgesehen, so benötigt er zunächst in irgendeiner Form Zugang zu dieser, unabhängig, in welcher Form das Passwort des Backend- Administrators hinterlegt ist.  Hat sich der Unbefugte diesen Zugang erst einmal erschlichen, wird er sich wohl kaum die Mühe machen, das der Hashsumme zu Grunde liegende Passwort des Administrators zu ermitteln, wenn er auch die Möglichkeit besitze, innerhalb von einer halben Minute einen eigenständigen Admin-User anzulegen.

Für alle, die ebenfalls auf das Problem mit dem fehlerhaften Login gestoßen sind und nicht gewillt sind, das Passwort im Klartext einzutragen, könnte, ohne es probiert und getestet zu haben, auch die von Typo3 mitgelieferte Erweiterung rsaauth/ saltedpasswords  eine Alternative sein.  Hierzu muss im Install-Tool für ['BE']['loginSecurityLevel'] der Wert ‚rsa‘ eingetragen werden.

Ursache

Da auf dem selben Server ein weiteres Typo3 (4.5.0) im Einsatz ist, bei dem die Standardauthentifizierung problemlos funktioniert, erschließt sich mir die eigentliche Ursache für das Problem derzeit noch gar nicht. Eine meiner ersten Vermutungen, eine veraltete PHP Version / Bibliothek, kann somit eigentlich nahezu  ausgeschlossen werden.

Für Feedback, Anregungen und Neuigkeiten hierzu bin ich Euch sehr dankbar.

Update: Möglicher Lösungsansatz

Ich hatte es eigentlich fast schon aufgegeben, nach einer Lösung für das Problem zu suchen. Bei einem neuen Projekt (Windows Server 2008) trat der selbe Fehler allerdings erneut auf. Doch diesmal wurde ich dank dem folgenden Boardeintrag fündig: Schuld waren fehlende Schreibberechtigungen für den Ordner, den PHP zum Anlegen von Sessions und error logs verwendet. Nachdem der entsprechende IUSR die Rechte erhalten hatte, funktionierte nun auch der BE Login.