La versione dovrebbe essere nascosta?

Contribuisci Funzionalità
1

Mi chiedo se sia un modo valido e coerente attualmente:

  • nascondere le informazioni sulla versione di nginx nelle risposte dell’intestazione, ma
  • mostrare la versione esatta e il livello di patch git nel codice sorgente HTML di Discourse

Se qualcuno dispone di uno strumento automatizzato per la ricerca di vulnerabilità di sicurezza non patchate, è piuttosto facile se il codice sorgente HTML visualizza la versione nel tag meta generator.

Suggerirei di rimuovere tali informazioni almeno dalle richieste anonime, forse persino da tutti gli accessi non amministrativi.

4 Mi Piace
2

Considero questo “sicurezza per oscurità”, che non è affatto una vera forma di sicurezza. È meglio concentrare gli sforzi su tecniche che migliorino effettivamente la sicurezza.

2 Mi Piace
3

Certo, l’obiettivo dovrebbe essere avere un sistema sicuro, non nascondere i bug.

Mi chiedevo solo perché la versione di nginx venga nascosta mentre quella dell’applicazione principale no.

Ma potrebbe essere anche una questione legata ai protocolli IMAP e SMTP: se sia opportuno mostrare anche le loro versioni o nasconderle/modificarle.

4

potrebbe essere perché nginx è all’interno del contenitore Docker?

1 Mi Piace