Descargar sitios web que utilizan Kerberos

Acerca de Kerberos

Un esquema de autenticación construido para una red de campus, donde cada máquina y cada usuario estaban ya registrados ante una autoridad central, no tiene ningún motivo evidente para aparecer en un sondeo de la web pública. Y sin embargo Kerberos aparece, pocas veces, y cada aparición dice algo bastante concreto sobre el host en el que se encontró.

Kerberos salió de MIT en 1988 y se publica como software Open Source. El diseño es un sistema de tickets: un cliente se acredita una vez ante un tercero de confianza, recibe un ticket de duración limitada y presenta ese ticket a los servicios en lugar de enviar una contraseña a ninguna parte. Décadas de infraestructura de identidad empresarial se construyeron sobre esa idea, y el protocolo sigue siendo el núcleo de autenticación de los grandes despliegues de directorio corporativo.

Lo que hace visible Kerberos para un rastreador es una cabecera de negociación. Un servidor que quiere autenticación integrada responde a una petición sin autenticar con un desafío que nombra el mecanismo, y un navegador que está dentro del dominio correcto responde al desafío en silencio. Todo en ese intercambio está pensado para una red interna, así que encontrarlo en un nombre de host que resuelve desde la internet abierta significa que una aplicación interna se ha publicado hacia fuera, de forma deliberada o no.

En octubre de 2026 registramos Kerberos en 1 sitio dentro de nuestros datos de la categoría Security. La cifra debe leerse como una cota inferior, y bastante reducida. Los recursos protegidos así suelen estar detrás de una VPN, en un DNS de horizonte dividido o en nombres de host que ningún rastreador va a recibir jamás, y nada de eso entra en un sondeo público. Lo que el recuento captura es el resto expuesto.

El resto expuesto es la parte interesante para varios tipos de investigador. Los equipos de seguridad que componen una imagen de su superficie de ataque externa quieren saber cuáles de sus propios nombres de host responden con un desafío empresarial, porque una respuesta así filtra la arquitectura interna a cualquiera que pregunte con educación. Los proveedores que venden migraciones a inicio de sesión único quieren la misma lista desde el otro lado, porque un host que sigue ofreciendo el desafío antiguo es un host que sigue usando la pila de identidad antigua. Y quien modela cómo persiste la autenticación empresarial heredada necesita nombres, no un porcentaje.

Una consulta dominio a dominio responde a la pregunta que ya sabía que tenía que hacer. El valor de una lista descargable está en la consulta inversa: todos los hosts que hemos visto ofreciendo esto, sin aportar de antemano ningún dominio. En un protocolo cuya razón de ser es justamente quedarse dentro del perímetro, el registro interesante es el que terminó fuera.