Gunicorn: http प्रतिक्रिया शीर्षलेख सर्वर विशेषता को मुखौटा करने की क्षमता

आमतौर पर गनिकोर्न को उत्पादन वातावरण में nginx जैसे रिवर्स प्रॉक्सी सर्वर के पीछे तैनात किया जाता है, और nginx अपना Server टैग आउटपुट करेगा।

ऊपर प्लस वन

@benoitc के साथ हम कमांड लाइन पर एक विकल्प प्रस्तावित कर सकते हैं, आपको क्या लगता है? अन्यथा, हम इस टिकट को बंद कर देंगे जैसा कि @georgexsh द्वारा समझाया गया है, उत्पादन मोड में, आप एक रिवर्स प्रॉक्सी (nginx, apache, ...) का उपयोग कर सकते हैं।

क्या कोई सिर्फ post_request हुक में वातावरण को संशोधित नहीं कर सकता है?

@tilgovi जो काम करेगा मुझे लगता है ... सुनिश्चित नहीं है कि अगर हमें एक और विकल्प बनाने की ज़रूरत है ...

काम नहीं करता। अनुरोध उस बिंदु पर पहले ही भेजा जा चुका है।

@tilgovi मिडलवेयर भी काम नहीं करेगा, क्योंकि Server डिफ़ॉल्ट हेडर में है।

क्या होगा यदि हम सर्वर हेडर को पूरी तरह से हटा दें?

+1

यदि हम आपको हेडर के मान को एक यादृच्छिक स्ट्रिंग पर सेट करने की अनुमति देते हैं, तो हमें आपको हेडर को पूरी तरह से हटाने की भी अनुमति देनी चाहिए।

+1

आप हेडर को क्यों हटाना चाहते हैं?

अतीत में, मैंने सर्वर सॉफ़्टवेयर और संस्करण को छिपाने के लिए हेडर को परिनियोजन से हटा दिया है ताकि किसी ज्ञात शोषण वाले सर्वर के लिए क्रॉल करने वाले किसी व्यक्ति द्वारा इसे उठाया न जाए।

हां। सुरक्षा कारणों में से एक है। बेशक, आप Server मान को कुछ यादृच्छिक में बदल सकते हैं, लेकिन अतिरिक्त बाइट क्यों भेजें जो वास्तव में आवश्यक नहीं हैं?

मैंने इस सुविधा के लिए पीआर बनाने की स्वतंत्रता ली: #1384। यह कुछ समय से मेरी वांछित सूची में है।

चर्चा में जोड़ने के लिए: मैं तर्क दूंगा कि कुछ रिवर्स प्रॉक्सी सर्वर Server हेडर को संशोधित करते हैं, कुछ https://www.w3.org/Protocols/ में वर्णित Via हेडर जोड़ते हैं। rfc2616/rfc2616-sec14.html#sec14.38

दुर्भाग्य से, @mathiasverhoeven ने किसी कारण से अपना पीआर बंद कर दिया और हाल ही में गतिविधि नहीं की है।

क्या यहां अधिक सामान्य विकल्प होना असंभव होगा, जैसे कि --set-headers जहां आप किसी भी मात्रा में हेडर को की-वैल्यू पेयर के रूप में निर्दिष्ट कर सकते हैं? खाली मान हेडर को पूरी तरह से छोड़ देगा।

फिलहाल, मैं Server समायोजित करना चाहता हूं, लेकिन मैं एक और प्रतिक्रिया शीर्षलेख भी जोड़ना चाहता हूं, उदाहरण के लिए X-Product: MyProduct ।

मैं @mathiasverhoeven के पीआर के आधार पर कुछ एक साथ फेंक सकता हूं। @benoitc और @tilgovi आप क्या सोचते हैं?

बस इसे यहाँ छोड़ने जा रहा हूँ: https://www.fastly.com/blog/headers-we-dont-want। जैसा कि आप लेख में पढ़ सकते हैं, Server हेडर बहुत ही सामान्य और पूरी तरह से अनावश्यक है।

मैं सर्वर हेडर को छोड़ने में सक्षम होना चाहता हूं। मैं प्रॉक्सी को उलटने के लिए हिआवथा नामक एक सुरक्षा-केंद्रित वेबसर्वर का उपयोग करता हूं, अपने स्वयं के सर्वर हेडर को नहीं जोड़ने के लिए सेट करता हूं, इसलिए गनिकोर्न का सर्वर हेडर वर्तमान में इसे ग्राहकों के लिए बना रहा है।

@tuukkamustonen का विचार मुझे अच्छा लगता है। :)

संपादित करें: अभी देखा https://github.com/benoitc/gunicorn/pull/1617 । server_tokens = true|false|string बहुत अच्छा होगा।

कोई फ्लास्क चला रहा है? https://stackoverflow.com/a/46858238/452210 process_response लपेटने और ओवरराइड करने, हेडर को बदलने या हटाने का सुझाव देता है।

मैं सर्वर हेडर को छोड़ने में सक्षम होना चाहता हूं। मैं प्रॉक्सी को उलटने के लिए हिआवथा नामक एक सुरक्षा-केंद्रित वेबसर्वर का उपयोग करता हूं, अपने स्वयं के सर्वर हेडर को नहीं जोड़ने के लिए सेट करता हूं, इसलिए गनिकोर्न का सर्वर हेडर वर्तमान में इसे ग्राहकों के लिए बना रहा है।

मैंने देखा कि क्लाउडफ्लेयर भी एक सर्वर हेडर प्रदर्शित कर रहा है, इसलिए मुझे यकीन नहीं है कि इन दिनों यह प्रसिद्धि से सुरक्षा के बारे में कैसे अधिक है।

मुझे लगता है कि कमांड लाइन या कॉन्फ़िगरेशन में एक और विकल्प जोड़ने के बजाय मैं शुरुआत के लिए हेडर से संस्करण को आसानी से हटा दूंगा। फिर सर्वर_टोकन को हटाने के लिए केवल एक कॉन्फ़िगरेशन फ़ाइल जोड़ें। इसका फायदा यह है कि सर्वर नए संस्करण में इनायत से अपग्रेड कर रहा है, सेवा को रोके बिना उस सेटिंग को जोड़ने में सक्षम होगा। विचार?

मैंने देखा कि क्लाउडफ्लेयर भी एक सर्वर हेडर प्रदर्शित कर रहा है, इसलिए मुझे यकीन नहीं है कि इन दिनों यह प्रसिद्धि से सुरक्षा के बारे में कैसे अधिक है।

मुझे लगता है कि क्लाउडफ्लेयर की सेवा और सर्वर हेडर का एक अलग साइट के सर्वर के संदर्भ में एक अलग संदर्भ है। जब किसी साइट को Cloudflare के माध्यम से रिवर्स-प्रॉक्सी किया जाता है, तो यह तथ्य कि यह Cloudflare है जो प्रॉक्सी कर रहा है, अन्यथा अज्ञात नहीं है; यह नेमसर्वर और/या आईपी पते, आदि के माध्यम से स्पष्ट है। इसके विपरीत, मैं बिना किसी तीसरे पक्ष के रिवर्स प्रॉक्सी वाले वीपीएस पर एक साइट की मेजबानी कर रहा हूं, संभावित रूप से मुझे सर्वर सॉफ्टवेयर के एचटीटीपी हेडर के माध्यम से कम से कम प्रत्यक्ष पहचान से बचने की कुछ उम्मीद है। (निश्चित रूप से, यह सोच रहा है कि यदि भविष्य में गनिकोर्न में कुछ भेद्यता पाई जाती है, तो लक्ष्य खोजना केवल उसके सर्वर हेडर की खोज करने से अधिक कठिन होना चाहिए।)

मुझे लगता है कि कमांड लाइन या कॉन्फ़िगरेशन में एक और विकल्प जोड़ने के बजाय मैं शुरुआत के लिए हेडर से संस्करण को आसानी से हटा दूंगा। फिर सर्वर_टोकन को हटाने के लिए केवल एक कॉन्फ़िगरेशन फ़ाइल जोड़ें। इसका फायदा यह है कि सर्वर नए संस्करण में इनायत से अपग्रेड कर रहा है, सेवा को रोके बिना उस सेटिंग को जोड़ने में सक्षम होगा। विचार?

वह महान होगा। :+1: :थोड़ा_मुस्कुराता_चेहरा:

हाँ कृपया कम से कम संस्करण हटा दें। संस्करण प्रसिद्धि के लिए कुछ नहीं जोड़ता है और हमलावरों के लिए बहुत समय बचाता है।

मैं सिर्फ संस्करण को हटाने के बारे में सोच रहा हूं। @tilgovi इस पर कोई विचार?

मेरे लिए ठीक है!

इस पर कोई प्रगति? यह सुरक्षा के लिए एक त्वरित जीत की तरह लगता है।

जो अगले 20.1 . का हिस्सा होगा

मैं सिर्फ संस्करण को हटाने के बारे में सोच रहा हूं।

क्या सर्वर हेडर को पूरी तरह से हटाने के लिए कॉन्फ़िगरेशन फ़ाइल-ओनली सेटिंग अभी भी नियोजित है?

@ डेविड ओलिवर सवाल क्यों?

@benoitc आपकी टिप्पणी जिसे मैंने उद्धृत किया है, का अर्थ यह हो सकता है कि यह "बस"/केवल संस्करण संख्या है जिसे हटा दिया जाएगा, जबकि पहले बातचीत में सर्वर हेडर को पूरी तरह से हटाने की सेटिंग (जो मैं करना चाहता हूं) था माना जा रहा है।

धन्यवाद।

अगर हम सर्वर हेडर को पूरी तरह से हटा सकते हैं, तो हमें यह करना चाहिए।

मुझे अभी भी आश्वस्त होना है कि इसे हटाने का इससे कुछ लेना-देना है
सुरक्षा। पिछले 10 वर्षों में यह कोई मुद्दा नहीं रहा है। सुरक्षा द्वारा
अस्पष्टता भी मदद नहीं करती है, मैं जानना चाहूंगा कि हमारे पास कोई समस्या है और
इसे ठीक करें। सर्वर को जानने से भी संचालन में मदद मिल सकती है

मैं इस समय संस्करण को हटाने के लिए इच्छुक हूं क्योंकि यह संस्करण दे रहा है
सर्वर को कैसे बनाए रखा जाता है, इस बारे में बहुत अधिक जानकारी। हमें इसके लिए करना चाहिए
प्रत्येक शाखा जिसे हमने बनाए रखा।

विचार?

बेनोइट

सन 29 दिसंबर 2019 को 04:23 बजे रान्डेल लीड्स नोटिफिकेशन @github.com ने लिखा:

अगर हम सर्वर हेडर को पूरी तरह से हटा सकते हैं, तो हमें यह करना चाहिए।

-
आप इसे प्राप्त कर रहे हैं क्योंकि आपका उल्लेख किया गया था।
इस ईमेल का सीधे उत्तर दें, इसे GitHub पर देखें
https://github.com/benoitc/gunicorn/issues/825?email_source=notifications&email_token=AAADRIQBGN2KQRKOKLAYK43Q3AJ2PA5CNFSM4ASCOWF2YY3PNVWWK3TUL52HS4DFVREXG43VMVBW63DNMV-5EW27J
या सदस्यता समाप्त करें
https://github.com/notifications/unsubscribe-auth/AAADRISEUFGD43CKXLV3EZTQ3AJ2PANCNFSM4ASCOWFQ
.

>

मेरे मोबाइल से भेजा गया

नमस्ते,

मैं एक कनेक्शन पर प्रतिक्रिया देने के लिए गनिकोर्न का उपयोग कर रहा हूं जहां डेटा
महंगा है, मैं जो कुछ भी हटा सकता हूं वह कुछ भी है जिसका मुझे भुगतान नहीं करना है।

सर्वर हेडर छोटा होता है, लेकिन छोटी चीजें जुड़ जाती हैं, और कभी-कभी
छोटी चीजों का मतलब है कि आप सब कुछ एक कम पैकेट में फिट कर सकते हैं: the
संस्करण के साथ सर्वर हेडर 24 बाइट्स है, पेलोड का लगभग 1.7%
1460 के एमएसएस और टीएलएस हेडर के साथ। अतिरिक्त पैकेट के बिना भी,
एक बड़ा पैकेट पूरी तरह से नाराज होने की अधिक संभावना है
जब कनेक्शन खराब हो (जैसे किसी दूरस्थ स्थान पर सेलुलर नेटवर्क)।

एक नए HTTPS कनेक्शन पर, हैंडशेक और प्रमाणपत्र
विनिमय अधिकांश पेलोड बनाते हैं और छोटी चीजें हो सकती हैं
अवहेलना करना। कीप-अलाइव, बेमानी का उपयोग करके बार-बार छोटे-छोटे अनुरोधों के लिए
शीर्षलेख अनुरोध/प्रतिक्रिया का एक बड़ा हिस्सा बन जाते हैं।

यह उन लोगों के लिए भी महत्वपूर्ण हो सकता है जो क्लाइंट की अधिक परवाह करते हैं
लागत की तुलना में प्रदर्शन (थ्रूपुट से अधिक विलंबता)।

इस उपयोग के मामले के लिए, सबसे उपयोगी विकल्प सक्षम होना है
हेडर को पूरी तरह से हटा दें, न कि केवल मूल्य को हटाकर
या संस्करण भाग।

यह टिप्पणी ज्यादातर प्रासंगिक संदर्भ/कल्पना/आरएफसी जानकारी जोड़ने तक सीमित है, और (उम्मीद है) अधिकतर गैर-विचारणीय व्याख्या/टिप्पणी।

RFC7231 हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल (HTTP/1.1): शब्दार्थ और सामग्री https://tools.ietf.org/html/rfc7231#section -7.4.2

... एक मूल सर्वर अपनी प्रतिक्रियाओं में एक सर्वर फ़ील्ड उत्पन्न कर सकता है।

एक मूल सर्वर को अनावश्यक रूप से बारीक विवरण वाले सर्वर फ़ील्ड को उत्पन्न नहीं करना चाहिए और तीसरे पक्ष द्वारा उप-उत्पादों को जोड़ने को सीमित करना चाहिए। अत्यधिक लंबे और विस्तृत सर्वर फ़ील्ड मान प्रतिक्रिया विलंबता को बढ़ाते हैं और संभावित रूप से आंतरिक कार्यान्वयन विवरण प्रकट करते हैं जो हमलावरों के लिए ज्ञात सुरक्षा छेदों को खोजने और उनका फायदा उठाने के लिए इसे (थोड़ा) आसान बना सकता है।

https://tools.ietf.org/html/rfc7231#section -9.6

9.6. उत्पाद जानकारी का प्रकटीकरण
उपयोगकर्ता-एजेंट (धारा 5.5.3), वाया ([आरएफसी7230] की धारा 5.7.1), और सर्वर (धारा 7.4.2) हेडर फ़ील्ड अक्सर संबंधित प्रेषक के सॉफ़्टवेयर सिस्टम के बारे में जानकारी प्रकट करते हैं। सिद्धांत रूप में, यह एक हमलावर के लिए ज्ञात सुरक्षा छेदों का फायदा उठाना आसान बना सकता है; व्यवहार में, हमलावर सभी संभावित छेदों की कोशिश करते हैं, भले ही स्पष्ट सॉफ़्टवेयर संस्करणों का उपयोग किया जा रहा हो। नेटवर्क फ़ायरवॉल के माध्यम से एक पोर्टल के रूप में काम करने वाले प्रॉक्सी को हेडर जानकारी के हस्तांतरण के संबंध में विशेष सावधानी बरतनी चाहिए जो फ़ायरवॉल के पीछे होस्ट की पहचान कर सकती है। वाया हेडर फ़ील्ड बिचौलियों को संवेदनशील मशीन नामों को छद्म नामों से बदलने की अनुमति देता है।

से (बहिष्कृत) RFC2616:

15.1.2 संवेदनशील जानकारी का स्थानांतरण
किसी भी सामान्य डेटा ट्रांसफर प्रोटोकॉल की तरह, HTTP स्थानांतरित किए गए डेटा की सामग्री को विनियमित नहीं कर सकता है, न ही किसी दिए गए अनुरोध के संदर्भ में किसी विशेष जानकारी की संवेदनशीलता को निर्धारित करने का कोई प्राथमिक तरीका है। इसलिए, एप्लिकेशन को उस जानकारी के प्रदाता को इस जानकारी पर जितना संभव हो उतना नियंत्रण प्रदान करना चाहिए। इस संदर्भ में चार हेडर फ़ील्ड विशेष उल्लेख के लायक हैं: सर्वर, वाया, रेफरर और फ्रॉम।
सर्वर के विशिष्ट सॉफ़्टवेयर संस्करण को प्रकट करने से सर्वर मशीन को सॉफ़्टवेयर के विरुद्ध हमलों के प्रति अधिक संवेदनशील बनने की अनुमति मिल सकती है जिसे सुरक्षा छेदों के लिए जाना जाता है। कार्यान्वयनकर्ताओं को सर्वर हेडर फ़ील्ड को एक विन्यास योग्य विकल्प बनाना चाहिए।

PEP3333 पायथन वेब सर्वर गेटवे इंटरफेस v1.0.1 https://www.python.org/dev/peps/pep-3333/#the -start-response-callable

सामान्य तौर पर, सर्वर या गेटवे यह सुनिश्चित करने के लिए ज़िम्मेदार होता है कि क्लाइंट को सही हेडर भेजे जाते हैं: यदि एप्लिकेशन HTTP (या अन्य प्रासंगिक विनिर्देश जो प्रभाव में हैं) द्वारा आवश्यक हेडर को छोड़ देता है, तो सर्वर या गेटवे को इसे जोड़ना होगा। उदाहरण के लिए, HTTP दिनांक: और सर्वर: शीर्षलेख सामान्य रूप से सर्वर या गेटवे द्वारा आपूर्ति किए जाएंगे।

• सर्वर प्रतिक्रिया शीर्षलेख HTTP 1.1 के अनुसार वैकल्पिक है
• RFC मानता है कि अति-विस्तृत सर्वर फ़ील्ड असुरक्षित सर्वरों के लिए साइटों को स्कैन करना आसान बना सकते हैं। स्पष्ट रूप से यह एक मेक-इट-वन-स्टेप-कठिन, अस्पष्टता प्रावधान है, और कितना-कितना-विस्तार बहुत अधिक है परिस्थितिजन्य है।
• सर्वर हेडर को छिपाने के मूल्य में बहिष्कृत HTTP 1.1 RFC2616 थोड़ा बोल्ड है।
• PEP3333 आवश्यक या सामान्य हेडर के संदर्भ में सर्वर हेडर का उल्लेख करते समय थोड़ा आगे निकल जाता है।

इस पर काफी राय है, जैसे कि Apache HTTPD ServerTokens : https://httpd.apache.org/docs/2.4/mod/core.html#servertokens

ServerTokens को न्यूनतम से कम पर सेट करने की अनुशंसा नहीं की जाती है क्योंकि इससे इंटरऑपरेशनल समस्याओं को डीबग करना अधिक कठिन हो जाता है। यह भी ध्यान दें कि सर्वर को अक्षम करना: हेडर आपके सर्वर को अधिक सुरक्षित बनाने के लिए कुछ भी नहीं करता है। "अस्पष्टता के माध्यम से सुरक्षा" का विचार एक मिथक है और सुरक्षा की झूठी भावना की ओर जाता है।

सर्वर हेडर को केवल gunicorn कहने के लिए बदलना एक व्यावहारिक समाधान है और मुझे लगता है कि हमें ऐसा करना चाहिए, बिना किसी कॉन्फ़िगरेशन के।

@kmichel-sereema जैसे लोग, जो हर हस्तांतरण के आकार को अनुकूलित करना चाहते हैं, मुझे लगता है कि यह इस तरह के सूक्ष्म अनुकूलन करने का स्थान नहीं है। यदि HTTP हेडर बहुत अधिक ओवरहेड हैं, तो HTTP 1.x उपयोग करने के लिए आदर्श प्रोटोकॉल नहीं है, और मुझे नहीं लगता कि हमें सर्वर हेडर को बदलने या अक्षम करने की अनुमति देने के लिए अतिरिक्त कॉन्फ़िगरेशन जोड़ना चाहिए।

@tilgovi का सुझाव मुझे एक अच्छा समझौता लगता है।

कई वातावरणों में यह विवादास्पद भी हो सकता है। गनिकोर्न परिनियोजन दस्तावेज़ गनिकोर्न के सामने nginx जैसा प्रॉक्सी सर्वर रखने की सलाह देते हैं। क्लाइंट के पास जाने से पहले nginx प्रॉक्सी सर्वर से सर्वर रिस्पांस हेडर को

मेरे सुझाव और @tilgovi & @jamadden की टिप्पणियों के बाद मैं इस मुद्दे को #2233 के पक्ष में बंद कर रहा हूं। कोड और टिप्पणियों के लिए सभी का धन्यवाद!