Scaricare i siti web che utilizzano Apereo CAS

Informazioni su Apereo CAS

Il single sign-on universitario è uno dei pochi elementi dell’infrastruttura di autenticazione pensati per essere visti da chi visita il sito. La pagina di accesso è pubblica, porta il marchio dell’istituzione e di solito si trova su un hostname proprio, separato dal sito che vi ha indirizzato l’utente. È proprio questa abitudine architetturale a rendere il software allo stesso tempo rilevabile e fortemente sottostimato.

Un servizio di autenticazione centralizzato è la porta d’ingresso a tutto il resto che un’organizzazione gestisce. Posta, sistemi bibliotecari, piattaforme didattiche, portali per i finanziamenti e strumenti interni delegano tutti a esso l’autenticazione, quindi la sua presenza implica un’istituzione con molte applicazioni e una decisione, presa a livello centrale, che un’unica identità debba aprirle tutte. Nessuno installa software di questa classe per proteggere un singolo sito.

A ottobre 2026 lo rileviamo su 19 hostname. Il numero è piccolo e il motivo è strutturale, non commerciale. I server di login si trovano su sottodomini raramente collegati dalla home page e spesso esclusi dalla scansione, e molte istituzioni li collocano dietro un portale che compare solo dopo un reindirizzamento. Un’organizzazione può usare il software per decine di migliaia di persone e comparire comunque una sola volta, o per niente, in un indice pubblico del web. Il dato è una prova di presenza, non una misura della base installata.

Per un progetto comunitario, la scheda qui è insolitamente completa. Il software è scritto in Java e distribuito con licenza Apache 2.0, e il primo anno che registriamo è il 2004, il che lo rende più vecchio di diversi protocolli di identità che oggi supporta. Il progetto è curato da Apereo Foundation, una fondazione e non un’azienda, e il modello di governance spiega in parte il modo in cui viene installato. Adottare il codice non costa nulla, quindi il vero prezzo è il tempo del personale, e il tempo del personale è qualcosa che un’università ha e una piccola impresa no.

Nel nostro catalogo la categoria è Authentication, e per un ricercatore questa etichetta sminuisce ciò che un rilevamento significa. Un sito che gestisce un proprio server di identità in Java comunica di non aver acquistato un prodotto di login in hosting, di avere un team operativo e che qualunque fornitore voglia vendergli qualcosa deve integrarsi con una federazione esistente invece di sostituirla. I ricercatori di sicurezza leggono lo stesso segnale al contrario, perché una porta d’ingresso gestita in proprio è un obbligo di aggiornamento oltre che un’architettura, e i siti che ne hanno una meritano attenzione quando esce un bollettino di sicurezza pertinente.

Una ricerca per singolo dominio dice se un’istituzione lo usa. L’elenco esportato dice chi altro lo usa, in quali paesi ed estensioni di dominio si raggruppa e quali organizzazioni andrebbero avvicinate con una proposta di integrazione invece che con un’offerta di sostituzione. Costruire tutto questo con ricerche singole significherebbe prima indovinare l’hostname di ogni server di login su internet, il che non è tanto un metodo di ricerca quanto un passatempo.