Molti scanner di sicurezza automatici hanno regole incorporate che segnalano la presenza della versione del software e in molti elenchi di sicurezza l'esposizione della versione alla persona arbitraria che accede al sistema è menzionata come uno dei problemi di sicurezza.
Quindi la mia domanda è - è un vero problema e si nasconde la versione aggiunge qualcosa di reale alla sicurezza?
Le argomentazioni dicono che nascondere la versione rende più difficile l'utilizzo di exploit mirati, tuttavia la maggior parte degli hacker ora ha tool di exploit automatizzati che non impiegano tempo per eseguire centinaia di tentativi di exploit contro il target, quindi la differenza è prossima allo zero per un informato attaccante. E uno che non è informato non saprà come utilizzare le informazioni sulla versione. Le versioni nascoste rendono anche più difficile l'auto-scansione per le installazioni vulnerabili di sinistra.
Vedo anche che questa pratica è ampiamente ignorata - ad esempio, la pagina stessa di OWASP che descrive questo come tecnica di sicurezza visualizza apertamente le versioni del software server (OS, Apache, PHP) e il software Wiki. Ma anche se si tenta di nasconderlo, la maggior parte delle applicazioni Web, specialmente quelle complesse, sono facilmente modificabili mediante il rilevamento delle impronte digitali di vari contenuti che generano.
Quindi vale la pena nascondere la versione per un'applicazione web? O per qualsiasi applicazione / OS / piattaforma?