Bekijk Volledige Versie : Software versies wel of niet publiekelijk zichtbaar ?
Vanmiddag had ik een korte woordenwisseling op Twitter met Joost de Valk van Yoast (SEO plugin voor WordPress).
12733
Nu weet ik wel dat security through obscurity op zichzelf staand niet zoveel zal helpen maar waarom juist wel alles tonen aan iedereen terwijl dit voor normaal gebruik totaal niet nodig is en het personen met minder vriendelijke bedoelingen juist kan helpen?
Ik ben benieuwd hoe jullie hier over denken en dus een simpele vraag aan jullie is,
software versies wel of niet publiekelijk zichtbaar?
Niet publiekelijk zichtbaar. Dit wordt vaak gebruikt door bots om lekken voor een bepaalde versie te misbruiken. Het versienummer kan ook op de plugins pagina in wp-admin worden opgevraagd en dat lijkt mij simpel genoeg voor de gebruiker om op te zoeken.
Ramon Fincken
06/12/16, 20:08
Ik ben het met mijzelf eens, als er support moet komen dan weet support bij ons welke versies er draaien en anders is dat ook snel gedaan.
Ik leun richting Ramon. Door versies te verbergen lijk je slim bezig te zijn, een automatische exploit is echter binnen 0.0001 seconden uitgevoerd. Je zou een gehele anonimisering moeten toepassen, wat niemand anders doet. Als je daar 1 of andere plugin voor gebruikt, dan zal ook die opgepikt worden. Kortom ik zie er weinig voordeel aan, het kost alleen maar tijd, kan wat mis mee gaan, en inderdaad wil iemand gewoon eens meekijken bij een developer probleem, maak je het extra lastig.
Gewoon updaten met je handel.
CharlieRoot
07/12/16, 09:40
Ik ben het met mijzelf eens, als er support moet komen dan weet support bij ons welke versies er draaien en anders is dat ook snel gedaan.
Als de enige motivatie is het bieden van Support dan ben je als bedrijf niet helemaal lekker bezig. Je moet dan toch (als je toch ontwikkelaar bent) iets kunnen doen met het tonen van versienummers op verzoek en met authenticatie. Op die manier is het alleen opvraagbaar juist voor support doeleinden.
Anyway, ik ben van mening dat versienummers er voor kunnen zorgen dat je eerder onder vuur komt te liggen als er een exploit beschikbaar komt. Het is geen beveiliging op zich zelf - maar maakt je wel iets wat minder kwetsbaar op dat soort momenten.
Ramon Fincken
07/12/16, 09:57
Let op: het support stuk kwam van Joost, als maker van de plugin.
Toevallig (ahum) doen wij ook WordPress support voor onze klanten.
Versie nummers op zich verbergen is iets wat de eigenaar van de website moet beslissen (en moet kunnen), waar ik meer problemen mee heb is bepaalde csm'en en websites waar je gewoon /debug of &debug=1 of &debug=true kunt zetten en gewoon alle debug informatie krijgt zoals dumps van configs, query's, cache, vars, ... Dit lijkt me veel schadelijker dan een publiek versie nummer, want dan kun je ook beginnen met allemaal je source te recompilen van je services en daar ook de versie nummers uit te slepen ;).
Zou er gewoon in moeten staan. Maakt het voor onderhoud idd veel makkelijker (en duidelijker) dat er geupgrade moet worden bijv.
In theorie zou het idd IETS veiliger zijn als ze zwaar op de security zit (dagelijkse routines). In de praktijk zie ik dat maar weinig mensen continu alles monitoren mbt tot potentiële gevaren in libraries ed.
Een bot wat scant op versies kan ook naar andere zaken kijken. Als iemand een gerichte aanval wil doen heb je er al zeker niks aan.
Dit lijkt een beetje op een paswoord verander policy, wat het paswoord moeilijker raadbaar zou maken. In de praktijk gaan mensen echter dan gewoon paswoorden op briefjes schrijven. In theorie dus een verbetering, maar komen er mensen bij kijken dan kan het nogal eens tegenvallen.
Ik zie hier toch wel wat verschillende meningen. De voorstanders vinden het dus 'handig' voor de verschillende supportafdelingen? Ik weet wel dat veel bedrijven nooit zullen zeggen hoe hun infrastruktuur eruit ziet (gebruikte software en hardware) en vraag aan banken eens welke type kluis ze achter in gebruik hebben?
Nogmaals, ik snap het security through obscurity verhaal wel maar ik blijf erbij dat je het aanvallers allemaal net even iets makkelijker maakt door al die info vooraf al prijs te geven. 'Het is makkelijker voor support' klinkt nu ook niet echt betrouwbaar. Sinds wanneer is makkelijk een prioriteit als we het hebben over security?
Het is grappig om te zien dat hier verschillende meningen over zijn.
Ikzelf ben voorstander van niet publiekelijk en snap ook niet dat mensen het publiekelijk willen vanwege makkelijker onderhoud.
Wij houden van managed klanten goed bij wat ze hebben en wat we doen qua onderhoud, zo lijkt mij publiekelijk maken vanuit management overwegingen ook niet echt een argument. Maar dat is mijn mening ;)
stefantriep
15/12/16, 11:58
Ik zou het liever ook niet tonen bij Wordpress sites, maar moet je niet met honderden verschillende CMS-systemen rekening gaan houden om versienummers van de CMS-en te strippen van sites? Serversoftware snap ik nog, maar al die CMS-en is gewoon niet te doen lijkt mij.
Voor Wordpress is dit misschien wel mooi: https://codecanyon.net/item/hide-my-wp-amazing-security-plugin-for-wordpress/4177158
Sinds wanneer is makkelijk een prioriteit als we het hebben over security?
Sinds dat bijna altijd de afweging is bij security ;-)
Maar ik ga mee met het kamp van security through obsecurity. Als het kan schakel het uit. Voor support voegt het écht niets toe.
systemdeveloper
16/12/16, 01:14
Het is niet eens security by obscurity eigenlijk. Het is namelijk niet dat je fuzzy doet over de beveiliging of daar aspecten over geheim probeert te houden. Je geeft gewoon een aanvaller zo min mogelijk informatie.
Als je een kluis in huis hebt, ga je ook niet aan de grote klok hangen wáár die kluis zit en welk type het is.