「Linux/Unixでのセキュアなプログラムの書き方」記事へのコメント

ソフト名も隠さなければいけない

[bluedwarf (11629)]

8.2. コメントはいれない [linux.or.jp]とあるけれど、どの程度コメントならOKでどの程度のコメントならまずいのだろうか？

# 「最終更新日」とかまずそうだね...

サーバーとか調べれば、OSとか使っているサーバーとか分かってしまうのが多いと思う(←良く知らない)のですが、そういうのもちゃんと隠したほうが良いということでしょうか？

--
// Give me chocolates!

Re:ソフト名も隠さなければいけない

[L.Nizah (7804)]

バージョン情報を隠しても、本質的なセキュリティは変わらないと思います。
攻撃者がバージョンからセキュリティホール(や、その他の動作)を把握する事が可能なため、バージョン情報を隠すことによって攻撃者に与える情報を*減らす*事は出来ても、バージョンを隠す事によって、そのバージョンのソフトウェアにある不具合が消えるわけではないでしょう。

僕が攻撃者ならば、攻撃対象が自称するバージョン情報は信じませんね。
無差別攻撃するなら、とりあえず穴のあるバージョンを吐いている所だけを狙うかもしれませんが ;)

# 穴が見つかった時、とりあえず(fix済みの)嘘バージョンを吐くようにした事があったりなかったり...