「サーバのバージョンは隠すのが常識?」記事へのコメント

昔のワームの話ですが。

[masaru (2119)]

いつごろだったか忘れたのですが、Apacheのセキュリティーホールを突くワームがあって、そのワームが Apache が返す ServerName を見て、ServerName に一致した exploit code を流し込むという動きをしていました。　ServerName を隠された環境で Exploit code を流す場合、try and error で複数の種類を挑戦するようにすればよいのでしょう。　ServerName が隠されていない場合ならば ServerName に合ったパターンで流し込めばいいので、能率がよいといえばよいと。

ディストリビューション屋にしてみれば、自社の名前を Apache のレスポンスヘッダに入れておくことで、Netcraft とかの統計で自社の製品がどれぐらい使われているといったマーケティング用途になる、なんていう話もありますが。　ディストリビューション屋としてはマーケティングの材料にしたいが、利用者にしてみれば迷惑なお話で。

Re:昔のワームの話ですが。

[okky (2487)]

Apacheのセキュリティーホールを突くワームがあって、そのワームが Apache が返す ServerName を見て、ServerName に一致した exploit code を流し込むという動きをしていました。

ワームではありませんし、セキュリティでもありませんが。

システムの設定がちゃんとしているかどうかを調べる際に、最初に相手のバージョンや誰が設定したのかを調べて、それに応じてテスト順序を入れ替える、というのならやったことがあります。

通らなさそうなテストを先に実行する事で、問題点を早い目に発見するのが目的だったのですが、同じ発想を使うと同じ総当たり戦であっても
「より短期間でアタックに成功する可能性の高い順序」
でアタックできそうな気がします。

バージョン番号を隠す事で、これを「ランダムな順序で実行した場合」と同じ程度まで耐久時間を延ばせるならば、その間に攻撃を検知・対処できる可能性が高くなります。

というわけで、バージョン番号はやはり隠しておいたほうがよいでしょう。

--
fjの教祖様