Websites herunterladen, die OpenSSL nutzen

Über OpenSSL

Fast alles andere in diesem Datensatz erkennen wir, weil eine Website sich entschieden hat, es zu veröffentlichen. OpenSSL ist anders, denn die Bibliothek taucht meist nur auf, wenn ein Server freiwillig Informationen preisgibt, die er nicht hätte senden müssen. Ein Response-Header, der die kryptografische Bibliothek und manchmal ihren genauen Build nennt, ist ein Konfigurationsdetail und keine Designentscheidung, und er überlebt im öffentlichen Internet meist aus Unachtsamkeit. Jede Analyse, die auf dieser Zeile aufbaut, muss von dieser Tatsache ausgehen, denn der Bestand besteht nicht aus Websites, die die Bibliothek nutzen. Er besteht aus Websites, die sie offenlegen.

Der Unterschied ist groß. Die Bibliothek steckt in einem sehr großen Teil der Internet-Infrastruktur, in Webservern, Mailservern, Sprachlaufzeiten, Load Balancern, Datenbanken und Appliances, sodass sich die tatsächliche Nutzung von außen nicht einmal annähernd beziffern lässt. Stand Oktober 2026 erkennen wir die Bibliothek auf 337.312 Websites, und diese Zahl sollte man als die offenlegende Teilmenge lesen. Server, die so konfiguriert sind, dass sie Versionsbanner unterdrücken, oder denen ein Proxy vorgeschaltet ist, der Header umschreibt, fehlen zwangsläufig, und das sind überproportional oft die professionell administrierten.

Die offenlegende Teilmenge ist trotzdem wertvoll, und zwar gerade wegen der Merkmale, die mit der Offenlegung einhergehen. Ein Server, der seine kryptografische Bibliothek noch immer anzeigt, ist meist einer, der einmal eingerichtet und dann sich selbst überlassen wurde. Die Versionsdaten stützen diese Lesart. Auf den Websites, bei denen eine Version lesbar ist, verzeichnen wir 203 verschiedene Strings, und am häufigsten erfassen wir Version 1.0.2k, ein Release aus einer Ära der Software, die schon vor Jahren endete. Ein Long Tail alternder Builds ist der Normalzustand von Infrastruktur, für die niemand zuständig ist.

Gerade hier müssen die Vorbehalte deutlich ausgesprochen werden, weil ein Datensatz an dieser Stelle am leichtesten missbraucht wird. Ein Versionsstring ist keine Schwachstellenbewertung. Enterprise-Distributionen portieren Sicherheitskorrekturen zurück und behalten dabei die ursprüngliche Versionsnummer, sodass ein Build, der uralt aussieht, vollständig gepatcht sein kann, und das Banner wird das nie verraten. Der gemeldete String kann außerdem aus einem einkompilierten Standardwert stammen statt aus der laufenden Bibliothek. Wer diese Werte als Zielliste behandelt, handelt technisch falsch und ethisch unvertretbar. Die legitimen Verwendungen sind Inventarisierung, Flottenverwaltung, Forschung und die Risikobewertung von Lieferanten, und sie alle setzen voraus, dass man weiß, was der eigene Bestand oder die eigenen Lieferanten preisgeben.

So gelesen beantwortet die Datei Fragen, die Prüfungen einzelner Domains nicht beantworten können. Ein Sicherheitsforscher, der wissen will, wie schnell das Web alte kryptografische Builds ausmustert, braucht einen Bestand und wiederholte Beobachtungen, keine einzelne Antwort. Ein Hosting-Provider, der seinen eigenen Adressraum prüft, braucht jede Website, die er betreibt, nicht nur die, zu denen bereits eine Beschwerde eingegangen ist. Ein Einkaufsteam, das Lieferanten bewertet, muss die gesamte Lieferantenliste auf einmal prüfen. Ein Filter nach Land oder nach Endung grenzt jede dieser Fragen auf den Bestand ein, der Sie tatsächlich betrifft. Beim Land verorten wir 78.142 der Websites in den USA, bei den Endungen erfassen wir .com am häufigsten.

Auch der Kontext hilft. Gepflegt von der Organisation OpenSSL Project unter der Lizenz Apache 2.0 und seit 1998 verfügbar, hat die Bibliothek den Großteil der auf ihr aufgebauten Software überdauert, weshalb ihre Versionsgeschichte zu den besseren verfügbaren Indikatoren dafür gehört, wie lange ein bestimmter Server schon unangetastet läuft.