현재 다음과 같은 방식으로 일관되고 좋은 방법인지 궁금합니다:
- nginx 버전 정보를 헤더 응답에서 숨기되,
- Discourse의 HTML 소스 코드에는 정확한 버전과 git 패치 수준을 표시하는 것
보안 취약점을 자동으로 검색하는 도구를 사용하는 경우, HTML 소스가 메타 생성자 태그에 버전을 표시하고 있다면 비교적 쉽게 발견할 수 있습니다.
최소한 익명 요청에서는 해당 정보를 제거하고, 가능하면 모든 비관리자 접근에서도 제거하는 것을 제안합니다.
4개의 좋아요
저는 이것을 "불투명성에 의한 보안"이라고 생각합니다. 이는 진정한 의미의 보안이 아닙니다. 실제로 보안을 강화하는 기법에 노력을 집중하는 것이 더 좋습니다.
2개의 좋아요
물론, 버그를 숨기는 것이 아니라 안전한 시스템을 갖추는 데 초점을 맞춰야 합니다.
nginx 버전은 숨겨지는 반면, 메인 앱 버전은 숨겨지지 않는 이유가 궁금했습니다.
하지만 imap과 smtp 프로토콜의 경우에도 해당 버전을 표시해야 하는지, 아니면 숨기거나 변경해야 하는지 역시 의문이 들 수 있습니다.
IAmGav
(Gavin Perch)
4
nginx가 도커 컨테이너 안에 있기 때문일까요?
1개의 좋아요