Onderwerp: Apache banners, ze staan bijna overal aan?

Oorspronkelijk geplaatst door Wido

Hallo,

Ik heb in mijn Firefox de leuke ServerSpy plugin, hiermee kan ik direct zien welke webserver software een website draait.

Leuke plugin! De ASNumber plugin is ook handig btw

Ook leuk, dat doen wij: IIS5.0 teruggeven wanneer je Apache bent. In de logs zie je dan allemaal known IIS5.0 hacks langskomen, terwijl er gewoon Apache draait.

Oorspronkelijk geplaatst door Glenn

Ook leuk, dat doen wij: IIS5.0 teruggeven wanneer je Apache bent. In de logs zie je dan allemaal known IIS5.0 hacks langskomen, terwijl er gewoon Apache draait.

Krijg je ook als je de apache banners laat staan hoor

Oorspronkelijk geplaatst door AlexanderOnline

Leuke plugin! De ASNumber plugin is ook handig btw

Die had ik ook al.

Ik heb ShowIP, ServerSpy en ASNumber

Ik ben het deels met je eens, maar ik weet uit de loggings dat het in principe niet uit maakt of je wel of niet naar de buitenwereld bekend maakt welke versies je draait. Je krijgt alles om je oren, IIS meuk op Linux machines en Windows vs Apache.

De gedachtegang is namelijk heel simpel vanuit de scripters gezien, waarom zou ik condities gebruiken als ik een evengrote kans op succes heb als ik het niet doe.

Kortom, ze vuren alles wat ze hebben af op je machine en dat doen ze vaak wel volledig geautomatiseerd. Ze gaan uit van bekende zaken.

Oorspronkelijk geplaatst door Sander-

- SSH Port veranderen, scheelde op sommige machines meer dan 1000 loginpogingen per dag + je loopt alle standaard ssh-exploits die gewoon in het wilde weg wat proberen alweer mis

Als je door standaard SSH exploits gepakt wordt dan heb je veel grotere problemen dan een paar extra inlogpogingen per dag.

Het feit dat je minder geprobed wordt betekent absoluut niet dat je systeem meer veilig is. Iemand die echt specifiek op je systeem binnen probeert te komen laat zich absoluut niet tegenhouden door het feit dat je een regeltje in je sshd_config hebt veranderd.

Je creeert op deze manier niets anders dan een vals gevoel van veiligheid.

Een in mijn ogen betere methode (als een strict IP filter op je SSH poort geen mogelijkheid is omdat jij of je klanten een dynamisch IP hebben) is het limiten van connection attempts per IP adres:

Code:

/sbin/iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
/sbin/iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP

Of eventueel op poort niveau:

Code:

/sbin/iptables -A INPUT -m tcp -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -m tcp -p tcp -s 10.1.0.0/24 --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -m tcp -p tcp --dport 22 -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT
/sbin/iptables -A INPUT -m tcp -p tcp --dport 22 -j DROP

Mijn idee van security is en blijft: ook als jij weet dat ik versie 1.4.18 van Lighttpd draai op een server met PHP v5.2.4, dan nog kom je mijn systeem niet op.

Overigens even terzijde en iets meer on-topic: het gros van de security problemen zitten niet in Apache maar in de web applicaties die je op je Apache webserver draait.

Oorspronkelijk geplaatst door nilicule

Het verbergen van je Apache versie maakt je niet veiliger.

Deze manier van 'beveiligen' noem je overigens "security through obscurity".

Wat een onzin. Natuurlijk maakt verbergen van je Apache versie je veiliger. En security by obscurity werkt ook gewoon altijd; http://jult.net/archive/2007/05/18/S...y_by_obscurity

Oorspronkelijk geplaatst door crazycoder

Krijg je ook als je de apache banners laat staan hoor

True, maar de hoeveelheid Apache shizzle neemt wel giga af.

Oorspronkelijk geplaatst door MusicMaestro

Wat een onzin.

Uit de link die je meestuurt:

Proving why security by obscurity does work: It will confuse the person who wants to break security, and it will cause a huge time-delay for your server security to be broken, if not prevent it from happening entirely!

Dat het langer duurt voor iemand je setup kent betekent nog steeds niet dat je systeem daardoor automagisch meer veilig is.

Ter vergelijking: stel je voor dat ik een blauwe fiets heb. Als ik jou niet vertel wat voor kleur mijn fiets is, is hij dan ineens niet meer blauw?

Oorspronkelijk geplaatst door MusicMaestro

En security by obscurity werkt ook gewoon altijd

In de woorden van Thomas Edison: "A conclusion is simply the place where you got tired of thinking."

Tuurlijk, als iemand écht wil, kan hij het wel achterhalen.

Maar waarom niet die extra barriere opwerpen, dat is toch niet zo erg?

Oorspronkelijk geplaatst door Wido

Tuurlijk, als iemand écht wil, kan hij het wel achterhalen.

Daarmee geef je zelf al aan dat je systeem er dus niet veiliger van wordt, je maakt je setup dus alleen maar complexer zonder iets aan de veiligheid toe te voegen.

Oorspronkelijk geplaatst door Wido

Maar waarom niet die extra barriere opwerpen, dat is toch niet zo erg?

Dit legt Bruce Schneier uit in Homeland Insecurity:

Kerckhoffs' principle applies beyond codes and ciphers to security systems in general: every secret creates a potential failure point.

Ik ben het overigens eens met eerdere posters dat het aanvallers kan vertragen, mijn punt is alleen dat je systeem hierdoor niet veiliger wordt.

Oorspronkelijk geplaatst door nilicule

Daarmee geef je zelf al aan dat je systeem er dus niet veiliger van wordt, je maakt je setup dus alleen maar complexer zonder iets aan de veiligheid toe te voegen.

"Complexer" door het aanpassen van twee config bestandjes ? Dat is wel erg overdreven. Indien het toch een kleine barrière opricht, waarom dan niet ?

Oorspronkelijk geplaatst door dreamhost_nl

Indien het toch een kleine barrière opricht, waarom dan niet ?

Ook als je je banner verandert, dan nog is het door middel van HTTP fingerprinting een eitje om uit te vinden welke versie je draait. Dus als je denkt dat het verbergen van de Apache banner zin heeft, dan kan je beter meteen ook even in het aanpassen van de HTTP/1.x headers duiken.

Nog een argument: Als de kids niet weten wat voor versie je draait, dan laten ze gewoon hun hele scala aan tools op je server los.

Het idee dat je je server veiliger maakt door je Apache versie te beveiligen is een denkfout: je onderschat je tegenstander en daarnaast verspil je tijd die je beter had kunnen besteden aan het beveiligen van je server.

Nee hoor, want ServerTokens pas de "Server" header aan in zijn 1.1 response.

Dus jouw opmerking gaat niet op!

Oorspronkelijk geplaatst door Wido

Nee hoor, want ServerTokens pas de "Server" header aan in zijn 1.1 response. Dus jouw opmerking gaat niet op!

Misschien eerst even lezen wat HTTP fingerprinting (http://net-square.com/httprint en vooral http://net-square.com/httprint/httprint_paper.html) is voor je je conclusies trekt?

De server header is in het geheel niet nodig om de Apache versie uit te lezen...