Apache: come nascondere il banner contenente la versione, il packaging, etc. [ServerTokens]

Ispirato dalla filosofia “security by obscurity” [sicurezza tramite segretezza], ho sempre avuto l’abitudine di limitare le informazioni rivelate dai server Apache che amministro. Solitamente (= di default), Apache rivela le seguenti informazioni:

  • Versione, major build [1, 2]
  • Packaging [Ubuntu, Fedora, etc.]
  • Eventuali moduli installati [mod_security, mod_python, etc.]
  • Versione estesa [2.0.47]

Un po’ troppe per i miei gusti… Quindi limito la quantità di informazioni che Apache rivela al mondo in questo modo [istruzioni personalizzate per Ubuntu]:

  • Diventando root, modificate il file /etc/apache2/conf.d/security
  • Andate alla riga ServerTokens: # ServerTokens
    # This directive configures what you return as the Server HTTP response
    # Header. The default is 'Full' which sends information about the OS-Type
    # and compiled in modules.
    # Set to one of:  Full | OS | Minimal | Minor | Major | Prod
    # where Full conveys the most information, and Prod the least.
    #
    ServerTokens Minimal

    Come vi viene spiegato, potete scegliere il livello di granularità delle informazioni rivelate, andando da Full (che rivela tutte le informazioni possibili) fino a Prod, che non rivela quasi nulla (solo che usate Apache). Sui miei server, di solito, scelgo una via di mezzo e di conseguenza imposto ServerTokens a Minimal.

  • Salvate e riavviate Apache: sudo /etc/init.d/apache2 reload

Leave a Reply

Your email address will not be published. Required fields are marked *