Запутывание заголовков сервера - PullRequest
0 голосов
/ 12 октября 2009

У меня есть приложение WSGI, работающее в PythonPaste. Я заметил, что стандартный заголовок «Server» пропускает достаточное количество информации («Server: PasteWSGIServer / 0.5 Python / 2.6»).

Моя реакция коленного рефлекса состоит в том, чтобы изменить это ... но мне любопытно, что думают другие.

Есть ли какая-либо утилита в заголовке сервера, или выгода от ее удаления? Должен ли я чувствовать себя неловко из-за передачи информации о моей инфраструктуре?

Спасибо

Ответы [ 3 ]

2 голосов
/ 12 октября 2009

Что ж, «Безопасность через неизвестность» никогда не бывает лучшей практикой; Ваше оборудование должно поддерживать целостность против злоумышленника, который обладает обширными знаниями о ваших настройках (запрет паролей, доступ к консоли и т. д.). Не могу остановить DDOS или что-то подобное, но вам не нужно беспокоиться о том, что люди узнают вашу версию ОС и т. Д.

Тем не менее, нет необходимости раздавать информацию бесплатно. Фальсификация заголовков может отпугнуть некоторых злоумышленников, и в таких случаях, когда вы запускаете приложение, которое может иметь известную эксплойт, появляется существенная выгода в том, что вы не рекламируете его.

Я говорю, измени это. Внутренне вы не должны видеть большую выгоду, оставляя его в покое, а внешне у вас есть шанс увидеть преимущества, если вы измените его.

1 голос
/ 12 октября 2009

Учитывая запросы, которые я нахожу в моих файлах журналов (например, запросы на ошибки, специфичные для IIS в журналах Apache, и я уверен, что журналы сервера IIS также будут отображать запросы, специфичные для Apache), есть много ботов, которые не ' не заботится ни о каком таком заголовке. Я полагаю, что почти все в настоящее время является грубой силой.

(И на самом деле, поскольку, например, я установил довольно много экземпляров Tomcat, работающих за IIS, я думаю, я бы тоже не учел заголовки, если бы попытался взломать свой путь на каком-нибудь сервере. )

И, прежде всего: при использовании свободного программного обеспечения я вроде бы считаю целесообразным дать производителям кредиты в статистике .

0 голосов
/ 20 октября 2009

Маскировка вашего номера версии является очень важной мерой безопасности. Вы не хотите сообщать злоумышленнику информацию о том, какое программное обеспечение вы используете. Эта функция безопасности доступна в mod_security, брандмауэре веб-приложений с открытым исходным кодом для Apache: http://www.modsecurity.org/

Добавьте эту строку в файл конфигурации mod_security:

SecServerSignature "IIS/6.0"
...