Websites herunterladen, die SPNEGO nutzen

Über SPNEGO

SPNEGO ist ein Protokoll und kein Produkt, und das verändert die Bedeutung einer Erkennung. Niemand kauft es, nimmt es in die engere Auswahl oder migriert davon weg. Ein Server bietet es an, weil die darunterliegende Plattform so konfiguriert wurde, dass sie Kerberos- oder Windows-Domänen-Anmeldedaten akzeptiert, und die Aushandlung wird in der Authentifizierungs-Challenge sichtbar, die der Server zurückschickt, bevor er eine Seite ausliefert.

Weil SPNEGO zur Ebene der Kategorie Security gehört, sagt sein Vorhandensein ungewöhnlich Konkretes aus. Ein Host, der mit dieser Challenge antwortet, ist in der Regel an einen Verzeichnisdienst des Unternehmens angebunden, was wiederum auf eine interne Identitätsinfrastruktur schließen lässt, auf Mitarbeiter statt Kunden jenseits des Logins und auf eine Anwendung, die für einen Netzwerkperimeter gebaut wurde. Um das Jahr 2000 standardisiert und in Implementierungen im Lizenzmodell Open Source für Windows- wie für Unix-Webserver verfügbar, hat der Mechanismus einen guten Teil der Intranet-Software überdauert, die er schützen sollte.

Stand Oktober 2026 erkennen wir das Angebot von SPNEGO auf 446 Hosts, und die Zahl ist eher ein Nebenprodukt dessen, was zufällig erreichbar ist, als ein Maß für die Verbreitung, denn ein Authentifizierungsmechanismus lässt sich nur beobachten, wenn ein Server die Challenge einer anonymen Anfrage von sich aus präsentiert. Systeme hinter einem VPN, einem Zugangs-Proxy oder einer Allowlist für Adressen fehlen konstruktionsbedingt, während ein öffentlicher Host, der die Challenge anbietet, häufig etwas offenlegt, das eigentlich intern bleiben sollte.

Genau deshalb lohnt sich die Liste. Sicherheitsforscher, die Angriffsflächen untersuchen, Penetrationstester und Teams für die Inventarisierung von Assets behandeln einen öffentlich erreichbaren Endpunkt für Domänen-Authentifizierung als eigenständigen Befund, denn er nennt die Organisation, deutet auf das Verzeichnis dahinter hin und markiert eine Angriffsfläche für Anmeldedaten, die eine genauere Untersuchung lohnt. Anbieter von Identitätslösungen, die moderne Föderation verkaufen, lesen denselben Bestand als installierte Basis von veraltetem Single Sign-on, die noch auf ihre Ablösung wartet. Die Prüfung eines einzelnen Hostnamens klärt eine Frage zu einem Server. Die herunterladbare Datei beantwortet die Frage, wie viel davon noch exponiert ist und wem es gehört.