Следует ли скрывать версию?

Внести вклад Функция
1

Интересно, является ли сейчас хорошим и последовательным подходом:

  • скрывать информацию о версии nginx в заголовках ответов, но
  • отображать точную версию и уровень патча git в исходном коде HTML Discourse.

Если у кого-то есть автоматизированный инструмент для поиска неисправленных уязвимостей безопасности, ему будет довольно легко найти их, если версия отображается в исходном коде HTML в мета-теге генератора.

Я предлагаю удалить эту информацию как минимум из анонимных запросов, а возможно, и из всех запросов, не исходящих от администраторов.

4 лайка
2

Я считаю это «безопасностью через неясность», что вообще не является настоящей безопасностью. Лучше сосредоточить усилия на методах, которые действительно повышают безопасность.

2 лайка
3

Конечно, приоритетом должна быть безопасность системы, а не сокрытие ошибок.

Меня просто интересовало, почему скрывается версия nginx, но не версия основного приложения.

Хотя в таком случае это может стать вопросом и для протоколов IMAP и SMTP: стоит ли отображать их версии или же их тоже следует скрывать или изменять.

4

Возможно, это потому, что nginx находится внутри контейнера Docker?

1 лайк