Websites herunterladen, die Digest nutzen

Über Digest

Digest gehört zu den Einträgen in unserer Kategorie Security, bei denen die Bezeichnung einen Mechanismus beschreibt und nicht das Produkt eines einzelnen Anbieters. Die Adresse in unserem Eintrag verweist auf den veröffentlichten Internetstandard für das HTTP-Authentifizierungsverfahren Digest. Dabei weist ein Server eine Anfrage zurück und fordert den Client auf zu beweisen, dass er ein Passwort kennt, ohne dieses Passwort über die Leitung zu schicken. Der Client antwortet mit einem Hash, der aus dem Challenge-Wert, dem Benutzernamen, dem Passwort, der Anfragemethode und dem Pfad berechnet wird, und der Server berechnet denselben Hash nach, um zu entscheiden, ob die Anfrage durchgeht. Weil die Challenge jedem angeboten wird, der danach fragt, noch bevor irgendwelche Zugangsdaten vorliegen, lässt sich das Verfahren überhaupt von außen beobachten. Eine Domain landet in dieser Gruppe, weil eine Antwort auf diese Weise nach Zugangsdaten gefragt hat, und nicht, weil ein Website-Betreiber sich auf die Suche nach etwas namens Digest gemacht hat.

Erst die Sicherheitsperspektive macht das Signal wertvoll. Dass das Passwort gehasht und nicht nur kodiert wird, war eine Verbesserung gegenüber dem einfacheren Verfahren, das dieses ablösen sollte. Der Server muss die Zugangsdaten aber weiterhin in einer Form vorhalten, aus der er den Hash nachrechnen kann. Gegen einen Angreifer, der sich in eine Verbindung einklinkt, die nicht ohnehin verschlüsselt ist, bietet der Austausch keinen Schutz, und abgefangene Digests sind offline Rateversuchen ausgesetzt. Die Websites dieser Gruppe verbindet eher eine Haltung als eine Branche. Etwas auf der Domain ist durch eine Passwortabfrage abgeschottet, die der Server selbst auslöst, und nicht durch eine Login-Seite, die in eine Anwendung eingebaut ist. Das ist der ältere und schlichtere Weg, ein Verzeichnis, einen Administrationsbereich oder eine Staging-Kopie zu schützen, die eigentlich niemand erreichbar lassen wollte. Ein großer Teil davon entfällt auf eingebettete Geräte, denn Router, Speichersysteme, Kameras und Druckserver werden mit einer solchen Abfrage auf ihrer Verwaltungsoberfläche ausgeliefert und sind am Ende oft unter einer öffentlichen Adresse erreichbar.

Die Zahl muss man hier richtig einordnen. Stand Oktober 2026 erfassen wir Digest auf 437 Websites. Die Zahl ist eine Untergrenze und keine Vollerhebung, denn ein Host taucht nur dort auf, wo er die Challenge auf einem Pfad präsentiert, den wir tatsächlich erreichen. Alles hinter einem Proxy, der die Authentifizierung selbst abwickelt, oder hinter einem Anwendungs-Login bleibt unsichtbar, während das Verfahren darunter weiterläuft. Die Spalten für Anbieter und Lizenz sind bei diesem Eintrag leer und werden es auch bleiben. Eine Zeile hält also fest, dass eine Passwortabfrage dieser Art gesehen wurde, aber nicht, welche Software sie erzeugt hat.

Eine Abfrage pro Domain klärt eine Frage, die Sie bereits haben: Jemand gibt Ihnen eine URL, und Sie wollen wissen, wie sie nach Zugangsdaten fragt. Die herunterladbare Liste klärt die umgekehrte Frage, die sich von Hand viel schwerer stellen lässt. Gesucht sind alle Hosts, die diese Passwortabfrage noch immer dem offenen Internet präsentieren, mit der Serversoftware darunter sowie Land und Endung daneben, sortierbar nach dem Kriterium, das heute zählt. Diese Umkehrung, weg von einem Host nach dem anderen und hin zum gesamten Bestand in einer einzigen Datei, ist der praktische Weg, um exponierte Administrationsoberflächen zu kartieren, zu prüfen, was der Kundenstamm eines Hosters erreichbar lässt, oder zu beobachten, ob die offene Erreichbarkeit zwischen zwei Crawls abnimmt oder bestehen bleibt.