A versão deve ser oculta?

Contribuir Funcionalidade
1

Eu me pergunto se é uma boa e consistente maneira atualmente:

  • ocultar as informações da versão do nginx nas respostas no cabeçalho, mas
  • exibir a versão exata e o nível de patch do git no código-fonte HTML do Discourse

Se alguém tiver uma ferramenta automatizada procurando por problemas de segurança não corrigidos, fica bastante fácil se o código-fonte HTML exibir a versão na tag meta generator.

Eu sugeriria remover essas informações de solicitações anônimas, pelo menos, talvez até de todos os acessos não administrativos.

4 curtidas
2

Considero isso “segurança por obscuridade”, que não é de fato um tipo real de segurança. É melhor concentrar os esforços em técnicas que realmente melhorem a segurança.

2 curtidas
3

Claro, o foco deve ser ter um sistema seguro, não esconder os bugs.

Só fiquei me perguntando por que a versão do nginx é ocultada, mas a versão do aplicativo principal não.

Mas, então, pode ser até uma questão relacionada aos protocolos IMAP e SMTP: se devemos exibir essas versões também ou ocultá-las/mudá-las.

4

pode ser porque o nginx está dentro do contêiner Docker?

1 curtida