‫مخفی‌سازی هویت سرور در NGINX (حذف هدرهای Server و X-Powered-By)

Server: Kestrel
X-Powered-By: ASP.NET

Server: nginx/1.18.0 (Ubuntu)
X-Powered-By: ASP.NET

• Server: nginx/1.18.0: به مهاجم می‌گوید شما از NGINX نسخه 1.18.0 استفاده می‌کنید. اگر یک حفره امنیتی (CVE) برای این نسخه خاص وجود داشته باشد، مهاجم مستقیماً به سراغ آن می‌رود.
• X-Powered-By: ASP.NET: به مهاجم می‌گوید تکنولوژی سمت سرور شما ASP.NET است و باید از بردارهای حمله مخصوص این پلتفرم استفاده کند.

• مشکل: هدر Server: nginx/1.18.0 شماره نسخه را فاش می‌کند.
• راه حل: استفاده از دستور server_tokens.

# فایل: /etc/nginx/nginx.conf

http {
    # ... سایر تنظیمات

    # این دستور نسخه NGINX را از هدر Server حذف می‌کند
    server_tokens off;

    # ...
}

• قبل:Server: nginx/1.18.0
• بعد:Server: nginx

• مشکل: NGINX به عنوان یک پراکسی وفادار، به صورت پیش‌فرض هدر X-Powered-By را از Kestrel گرفته و به کلاینت تحویل می‌دهد.
• راه حل: استفاده از دستور proxy_hide_header.

# فایل: /etc/nginx/sites-available/my-app.conf

server {
    # ...

    location / {
        proxy_pass http://my_aspnet_backend;

        # حذف هدرهای افشاگر از پاسخ سرور پشتیبان
        proxy_hide_header X-Powered-By;
        
        # ممکن است Kestrel هدر Server: Kestrel را هم بفرستد، آن را هم می‌توانیم حذف کنیم
        proxy_hide_header Server;

        # ... سایر تنظیمات پراکسی
    }
}

• چالش: ماژول‌های استاندارد NGINX اجازه حذف یا تغییر کامل این هدر را نمی‌دهند. این رفتار در کد NGINX به صورت hard-coded تعریف شده است.
• راه حل: استفاده از یک ماژول اضافی به نام ngx_headers_more که قابلیت‌های بسیار بیشتری برای دستکاری هدرها در اختیار ما قرار می‌دهد.

# ابتدا NGINX قبلی را حذف کرده و نسخه کامل را نصب می‌کنیم
sudo apt update
sudo apt install nginx-extras

# فایل: /etc/nginx/sites-available/my-app.conf

server {
    # ...
    server_tokens off; # همچنان بهترین رویه است

    # روش اول: حذف کامل هدر Server
    # ما مقدار آن را با یک رشته خالی جایگزین می‌کنیم
    more_set_headers 'Server: ';
    
    # -- یا --

    # روش دوم: جایگزین کردن هدر Server با یک نام دلخواه
    # more_set_headers 'Server: My-Secret-Web-Server';

    location / {
        # ...
        proxy_hide_header X-Powered-By;
        # ...
    }
}

• (ضروری) مخفی کردن نسخه NGINX: در فایل nginx.conf دستور server_tokens off; را قرار دهید. این حداقل کاری است که باید انجام شود.
• (ضروری) مخفی کردن هویت Backend: در فایل کانفیگ سایت خود، با استفاده از proxy_hide_header X-Powered-By; (و در صورت نیاز proxy_hide_header Server;)، اطلاعات ارسالی از سمت Kestrel را حذف کنید.
• (پیشرفته و اختیاری) حذف کامل نام NGINX: اگر به حداکثر پنهان‌کاری نیاز دارید، پکیج nginx-extras را نصب کرده و با استفاده از دستور more_set_headers 'Server: ';، هدر Server را به طور کامل از پاسخ‌های خود حذف کنید.