Questa traduzione non è ancora stata rivista dalla redazione. Fa fede la versione tedesca. Deutsche Fassung →
Software-Stand
Cosa rivelano le intestazioni del server sul software del vostro sito?
Le intestazioni del server possono nominare nomi e numeri di versione del software che consegna il vostro sito Web — ad esempio del server Web o dell'ambiente di programmazione utilizzato. Queste intestazioni il vostro server invia invisibilmente con ogni risposta; ognuno può interrogarle senza che voi ve ne accorgiate. L'area di verifica Software-Stand segnala quando contengono numeri di versione, perché facilitano agli attaccanti l'assegnazione.
Ogni risposta del server porta intestazioni invisibili
Quando un browser recupera una pagina del vostro sito Web, il server risponde con il contenuto — e con una serie di intestazioni che il visitatore non vede mai. Regolano questioni tecniche come la memorizzazione in cache o il set di caratteri. Alcuni di questi sono pure auto-divulgazione: l'intestazione «Server» spesso nomina il software del server Web, «X-Powered-By» l'ambiente di programmazione — spesso nell'impostazione standard insieme al numero di versione. L'area di verifica legge le intestazioni della pagina comunque recuperata e segnala ogni intestazione che contiene un numero di versione, con la riga esatta come riferimento. Non avviene alcun accesso aggiuntivo al vostro server per questo.
I numeri di versione nell'intestazione sono pura divulgazione per gli attaccanti
Chi vuole attaccare un sito Web chiarisce prima quale software vi funziona. Se le intestazioni danno nomi e versioni gratuitamente, questo sforzo viene meno — l'assegnazione a lacune note diventa una semplice ricerca. Anche qui la verifica separa nettamente: un'intestazione di versione visibile prova la visibilità, nessuna vulnerabilità. Se la versione software denominata ha effettivamente una lacuna sfruttabile, l'intestazione non lo dice e la verifica non lo esamina nemmeno. Nella valutazione, la firma del server nascosta conta 20 su 100 punti — un piccolo ma facilmente raccoglibile blocco di costruzione, perché spegnere di solito non costa nulla in termini di funzione.
L'hoster o l'agenzia spegne la firma
L'auto-divulgazione delle intestazioni può essere soppressa nella configurazione del server o abbreviata al solo nome del prodotto senza versione. Su spazio web affittato, il provider lo gestisce su richiesta — spesso è sufficiente una breve richiesta al supporto. Se la vostra agenzia gestisce il server, l'intervento rientra nella loro routine di manutenzione. I siti Web presso provider di kit di costruzione rimangono al di fuori della vostra influenza; il provider è responsabile di tutte le impostazioni del server. L'intervento è piccolo e di solito non costa nulla in funzione — appartiene a ogni routine di manutenzione. Rimane importante la classificazione: nascondere la firma è igiene, non uno scudo protettivo. Il lavoro di sicurezza reale è l'aggiornamento continuo del software server — accade solo invisibilmente mentre la firma è la cosa più visibile che un server rivela.
- Chiedete al vostro hoster o alla vostra agenzia di disattivare le informazioni sulla versione nelle intestazioni di risposta.
- Chiedete quale software server distribuisce il vostro sito Web e chi è responsabile dell'aggiornamento.
- Dopo ogni trasferimento di server o aggiornamento importante, fate verificare se le intestazioni nominano di nuovo versioni — le impostazioni standard ritornano volentieri.
- Mantenete per iscritto la responsabilità: la manutenzione del server appartiene a un contratto di manutenzione, non a una richiesta.