Server-Exhi­bitionismus: ­diverse
verräterische HTTP-­Header (Bild 1)
Quelle: Autor
Verräterische HTTP-Header 19.09.2022, 00:00 Uhr

Wider den Exhibitionismus

ASP.NET (Core) verwenden, ohne zu verraten, dass man es nutzt? Dazu müssen einige HTTP-Header verschwinden.
Mittelmäßiger Witz gefällig? Aber gerne doch: Vier Männer gehen in eine Bar. Woran erkennt man den Pudding-Vegetarier? Er erzählt es ungefragt. Wer sich nun angegriffen fühlt, setze einfach „Lastenradfahrer“ oder „Balkonkraftwerkbesitzer“ ein, funktioniert genauso. Während diese Form der unnötigen Selbstauskunft in sozialen Situationen maximal Augenrollen oder betretenes Schweigen als Konsequenz hat, sieht das bei Webanwendungen anders aus. Verrät eine Site allzu offensichtlich Informationen darüber, welche Systeme und Software im Einsatz sind, womöglich noch inklusive Versionsnummern, freut das Angreifer aller Art.
Angenommen, es existiert eine bekannte Sicherheitslücke in bestimmten Versionen der IIS oder von ASP.NET Core. Tatsächlich gibt es hierfür öffentliche Auflistungen, etwa bei der amerikanischen Forschungseinrichtung beziehungsweise Militärorganisation MITRE, die „Common Vulnerabilities and Exposures“, kurz CVEs, unter [2] veröffentlicht. Und in der Tat gibt es dort Einträge sowohl für Microsofts Webserver [3] als auch für das Web-Framework ASP.NET Core [4]. Die gute Nachricht: Alles bereits behoben, nur ältere Versionen sind betroffen. Die schlechte Nachricht: Wie die Lebenserfahrung zeigt, wird nicht immer alles und zeitnah aktualisiert.

dotnetpro

Sie wollen zukünftig auch von den Vorteilen eines plus-Abos profitieren? Werden Sie jetzt dotnetpro-plus-Kunde
  • 2 Monate Gratis testen
  • Über 4.000 qualifizierte Fachartikel
  • Auf jedem Gerät verfügbar