Télécharger les sites web qui utilisent Kerberos

À propos de Kerberos

Un schéma d’authentification conçu pour un réseau de campus, où chaque machine et chaque utilisateur étaient déjà enregistrés auprès d’une autorité centrale, n’a aucune raison évidente d’apparaître dans un relevé du web public. Et pourtant Kerberos y apparaît, rarement, et chaque apparition dit quelque chose de très précis sur l’hôte où on l’a trouvé.

Kerberos est sorti du MIT en 1988 et est publié comme logiciel sous licence Open Source. Le principe est celui d’un système de tickets : un client prouve son identité une fois auprès d’un tiers de confiance, reçoit un ticket à durée limitée, et présente ce ticket aux services au lieu d’envoyer un mot de passe où que ce soit. Des décennies d’infrastructure d’identité d’entreprise ont été bâties sur cette idée, et le protocole reste le cœur d’authentification des grands annuaires d’entreprise.

Ce qui rend Kerberos visible pour un robot, c’est un en-tête de négociation. Un serveur qui veut une authentification intégrée répond à une requête non authentifiée par un défi nommant le mécanisme, et un navigateur situé dans le bon domaine répond au défi en silence. Tout, dans cet échange, est conçu pour un réseau interne, donc le trouver sur un nom d’hôte qui se résout depuis l’internet ouvert signifie qu’une application interne a été publiée vers l’extérieur, délibérément ou non.

En octobre 2026 le nombre de sites où nous relevons Kerberos dans nos données de la catégorie Security s’établit à 1. Le chiffre doit se lire comme un plancher, et un plancher étroit. Les ressources protégées de cette façon se trouvent normalement derrière un VPN, sur un DNS à horizon séparé, ou sur des noms d’hôte qu’aucun robot ne recevra jamais, et rien de tout cela n’entre dans un relevé public. Ce que le décompte capte, c’est le reliquat exposé.

Le reliquat exposé est justement la partie intéressante pour plusieurs types de chercheurs. Les équipes sécurité qui dressent le tableau de leur surface d’attaque externe veulent savoir lesquels de leurs propres noms d’hôte répondent par un défi d’entreprise, car une réponse de ce genre livre l’architecture interne à quiconque demande poliment. Les fournisseurs qui vendent des migrations vers l’authentification unique veulent la même liste dans l’autre sens, puisqu’un hôte qui propose encore l’ancien défi est un hôte qui fait encore tourner l’ancienne stack d’identité. Et quiconque modélise la persistance de l’authentification d’entreprise héritée a besoin de noms, pas d’un pourcentage.

Une requête par domaine répond à la question que vous saviez déjà poser. La valeur d’une liste téléchargeable est la requête inverse : tous les hôtes que nous avons vus proposer ce mécanisme, sans qu’aucun domaine soit fourni à l’avance. Pour un protocole dont toute la raison d’être est de rester à l’intérieur du périmètre, la trace intéressante est celle qui a fini à l’extérieur.