Télécharger les sites web qui utilisent Hiawatha

À propos de Hiawatha

Hiawatha existe parce que son auteur voulait un serveur web qui refuse le trafic aussi volontiers qu’il le sert. Le filtrage des requêtes se trouve dans le serveur plutôt que devant lui, de sorte que les requêtes malformées ou hostiles sont bridées ou rejetées avant qu’une application ne les analyse, et un exploitant qui l’installe s’est en général déjà fait une opinion sur la surface d’attaque avant d’ouvrir le fichier de configuration.

Écrit en C et distribué comme logiciel sous licence GPL v2, avec un relevé qui commence chez nous en 2002, il privilégie un fichier de configuration compact et lisible qu’un seul administrateur peut garder en tête. Le faire tourner suppose que quelqu’un a lu le manuel, empaqueté ou compilé le binaire, et accepté que les réponses à ses questions de configuration soient plus difficiles à trouver que pour les solutions grand public.

En octobre 2026 nous détectons Hiawatha sur 96 sites. La population est petite par construction, et sa petite taille constitue l’intérêt même pour un chercheur, pas une déception. Un serveur de niche tient lieu d’indice sur un profil d’exploitant : une infrastructure auto-hébergée, un administrateur qui a des idées arrêtées sur la surface d’attaque, et souvent un motif de durcissement ou de confidentialité derrière le déploiement. Personne n’arrive à ce logiciel par un programme d’installation en un clic.

Les données de version ajoutent une seconde dimension à ce profil. Nous relevons 21 chaînes de version distinctes sur les installations que nous voyons, dont 12.2. Une dispersion aussi large sur une base d’utilisateurs de cette taille indique que les déploiements sont entretenus un par un plutôt que poussés par un paquet de distribution ou un panneau d’hébergement. Certaines machines suivent les publications de près, d’autres ont été configurées une fois et laissées en fonctionnement pendant des années. Pour la recherche de vulnérabilités, la répartition des versions dans une population est le chiffre qui décide de tout, parce qu’il détermine quelle part du parc installé un avis de sécurité donné atteindrait réellement, et si un correctif publié il y a longtemps a été adopté tout court.

L’identification d’un serveur porte une faiblesse qu’il vaut mieux énoncer à voix haute. La reconnaissance repose sur ce que le serveur choisit de révéler, dans les en-têtes de réponse et dans le balisage de ses propres pages d’erreur, et un administrateur qui durcit une machine peut très bien supprimer précisément ces signaux. Sur un logiciel pensé pour la sécurité, les exploitants les plus soigneux en matière de divulgation sont ceux que nous sommes le moins capables d’identifier, si bien que la sous-estimation est corrélée au public que le projet attire. Notre chiffre décrit les hôtes qui s’identifient, pas tous les hôtes qui font tourner le code.

Cette limite ne rend pas la liste moins utile, elle en fait une liste d’une autre nature. Ce que nous publions est un échantillon d’une communauté qui s’est choisie elle-même, prélevé de façon constante par le même robot et selon les mêmes règles, ce qui rend les écarts d’une reconstruction à l’autre significatifs même là où le total absolu n’est pas complet. Une vérification domaine par domaine indique si un hôte donné fait tourner Hiawatha. Le téléchargement dit qui le fait tourner, où ces hôtes se situent, sur quelles versions ils sont figés, et si la communauté autour d’un petit serveur grandit, se maintient ou s’éteint lentement. Pour un logiciel dont la base d’utilisateurs est aussi spécifique, la vue de population est la seule qui permette de conclure tout court.