La divulgazione di informazioni sotto forma di intestazione di server è una vera vulnerabilità?

OWASP definisce Perdita di informazioni come una vulnerabilità, quindi il dibattito è davvero sull'opportunità o meno delle informazioni sulla versione specifica dovrebbe essere classificato come "perdita di informazioni".

Come cita @Oasiscircle, questa informazione può essere utilizzata come punto di partenza per gli aggressori che conoscono vulnerabilità specifiche associate a versioni specifiche. Sappiamo che gli hacker utilizzano botnet per scansionare i server alla ricerca di impronte digitali delle versioni e utilizzano queste informazioni per mantenere i database delle versioni delle applicazioni e degli indirizzi dei server. Shodan fornisce un database ampiamente utilizzato di queste informazioni. Quando viene introdotto un nuovo exploit che si rivolge a una versione specifica, o se un utente malintenzionato sviluppa un exploit 0day contro una versione, questi malintenzionati eseguono una selezione dei loro database e colpiscono rapidamente, sperando di catturare alcune di queste macchine prima che vengano corrette.

Ciò rende la conoscenza di un numero di versione specifico una vulnerabilità? Non direttamente, ma ti mette nel mirino di un campo di cecchini, ognuno con un grilletto e la motivazione per colpire per primo. Lo lascerò a te per determinare da solo se consideri questa vulnerabilità.

Sono generalmente dubbioso sui vantaggi - come dice @MarkBuffalo, molti attaccanti proveranno ogni attacco che conoscono su ogni server che trovano, sia che funzioni o meno (anche fino al punto di provare attacchi specifici di Windows contro sistemi che segnalano che stanno eseguendo RHEL).

Tuttavia, non si tratta di informazioni che è necessario fornire, quindi sono generalmente favorevole a rimuoverlo, laddove ciò può essere realizzato con il minimo sforzo. Questo a volte significa ridurre l'output solo al nome del server (ad esempio Apache, IIS) piuttosto che rimuovere completamente l'intestazione del Server, poiché la rimozione completa dell'intestazione potrebbe richiedere l'introduzione di nuovi elementi software nello stack del server.

Ad esempio, prende una riga in apache.conf per ridurre un'intestazione del server httpd su "Apache", ma l'aggiunta di un proxy per ridurla ulteriormente. In tal caso, sembra più sicuro attenersi alla linea minima, piuttosto che aggiungere un elemento aggiuntivo, che potrebbe introdurre i propri difetti.

Allo stesso modo, è facile vedere quando un sito esegue Wordpress, ma mi raccomando comunque di rimuovere il file readme - non è solo necessario, e agisce un po 'come la ciotola del marrone M & Ms rider che alcune rock band hanno usato tristemente : puoi controllarlo facilmente e mostra se è probabile che siano stati presi altri passaggi.

Diciamo che oggi è stata annunciata una vulnerabilità per tutti i server Microsoft IIS 7.5 con una piccola gamma di versioni ASP Net. Sono un malintenzionato e desidero capire quanti più server posso sfruttare prima che gli amministratori di sistema risolvano la vulnerabilità. Non sarebbe un problema molto più facile capire se potrei chiedere a ogni singolo server se sono vulnerabili piuttosto che dover provare la vulnerabilità su ogni singolo server? Inoltre, potrei registrare tutte queste informazioni su base per server e sapere esattamente chi voglio attaccare nel momento in cui viene rilevata una vulnerabilità per qualsiasi tipo di server.

Nascondere le informazioni sulla tua versione non fermerà un attacco, ma ti farà meno bersaglio se gli aggressori cercano una versione specifica di hardware o software. La sicurezza per oscurità non significa che tu sia al sicuro, ma a volte rallenta le persone, ed è esattamente ciò che è necessario per le vulnerabilità day zero.

Supponiamo che in ASP.NET 4.0.30319 sia stata rilevata una nuova vulnerabilità grave.

Gli aggressori possono facilmente trovare server vulnerabili utilizzando un motore di ricerca come Shodan: link

Nascondere i banner di informazioni ti protegge da attacchi non mirati quando un utente malintenzionato vuole solo che alcuni server si compromettano per l'aggiunta alla loro botnet.