Cacher la version - valeur précieuse ou juste de la sécurité par obscurité?
De nombreux scanners de sécurité automatiques ont intégré des règles qui alertent la présence de la version du logiciel et dans de nombreuses listes de sécurité, la version exposée à une personne arbitraire accédant au système est mentionnée comme l'un des problèmes de sécurité.
Donc, ma question est - s'agit-il d'un vrai problème et de cacher la version ajoute quelque chose de réel à la sécurité?
Les arguments qui disent que la version cachée contribue à utiliser des exploits ciblés, mais la plupart des attaquants ont désormais des kits d'exploitation automatisés qui ne prennent pas de temps à gérer des centaines de tentatives d'exploitation contre la cible. La différence est donc à côté de zéro pour un attaquant informé. Et une personne qui n'est pas informée ne saura pas utiliser les informations de version. La dissimulation des versions rend également plus difficile à numériser automatiquement pour les installations vulnérables gauche-derrière.
Je vois aussi que cette pratique est largement ignorée -, par exemple, la page très Owasp qui décrit cela comme technique de sécurité Affiche ouvertement versions du logiciel serveur (OS, Apache, PHP) et au logiciel Wiki. Mais même si vous essayez de le cacher, la plupart des applications Web - particulièrement complexes - sont facilement versionnés par empreintes digitales de divers contenus qu'ils génèrent.
Il est donc utile de cacher la version pour une application Web? Ou pour toute application/système d'exploitation/plate-forme du tout?
Lorsqu'une vulnérabilité utile sort dans une application Web populaire, un attaquant va utiliser Google piratage (ou parfois appelé A Google dork ) pour obtenir une liste de tous les logiciels qui exécutent ce logiciel . Bien que ce Google Hack pourrait contenir le numéro de version, certains aussi simples que " alimenté par WordPress " est généralement suffisant. Pourquoi vérifier le numéro de version, lorsque vous pourriez simplement tirer l'exploit et voir si elle réussit.
Ainsi, obscurcir le numéro de version n'était pas aussi important que obscurcir l'application.