Scaricare i siti web che utilizzano mod_auth_pam

Informazioni su mod_auth_pam

I moduli server sono la parte di uno stack che un sito web non dovrebbe pubblicizzare. mod_auth_pam è un modulo Apache che affida l’autenticazione al sistema operativo, così una richiesta per una pagina protetta viene verificata con la stessa infrastruttura di identità che regola gli account shell, il che in pratica significa utenti Unix, un servizio di directory o un realm Kerberos invece di una tabella di password web.

Il motivo per cui si usa il modulo è amministrativo più che tecnico. Un’organizzazione con un’unica fonte di verità per le identità non vuole averne una seconda all’interno di un’applicazione web, quindi il modulo esiste per evitare di mantenere un archivio di password parallelo. Uno schema di questo tipo appartiene a intranet, strumenti interni, pannelli di amministrazione e sistemi universitari molto più che ai siti commerciali, il che significa che un rilevamento indica spesso che il dominio, in realtà, non è affatto un prodotto pubblico.

L’età, in questo caso, conta. Il modulo risale al 1998, è scritto in C, è distribuito con licenza GPL v2 ed è di fatto fermo da molto tempo. Un componente di autenticazione che si trova nel percorso delle richieste e non riceve più attenzione è di per sé un dato rilevante per la sicurezza, indipendentemente dal fatto che sia mai stato configurato male su un determinato host.

Il rilevamento è inferenziale e l’avvertenza è sostanziale. Un server rivela l’elenco dei suoi moduli solo quando è configurato per essere loquace, tramite server token dettagliati, un gestore di stato esposto o una pagina di errore predefinita che nessuno ha sostituito, e ogni guida all’hardening degli ultimi anni dice agli amministratori di disattivare tutto questo. A ottobre 2026 registriamo mod_auth_pam su 4854 host, quindi la popolazione visibile è sbilanciata verso macchine lasciate loquaci più che verso un particolare tipo di organizzazione. I nostri dati di versione sono di conseguenza scarsi, 2 stringhe distinte in totale, concentrate su 1.1.1, ed è così che tende ad apparire un software che ha smesso di evolversi.

Per un inventario della superficie di attacco questo sbilanciamento non è fatale. Un ricercatore che mappa le installazioni Apache legacy, un fornitore che vende la migrazione da un percorso di autenticazione non più mantenuto e un team di sicurezza che verifica se qualcosa nel proprio parco lega ancora l’accesso web agli account di sistema vogliono tutti la stessa cosa, cioè l’insieme completo degli host su cui il modulo è visibile, insieme al resto dello stack che c’è dietro ciascuno. Classificata nella categoria Web server extensions del nostro catalogo, la voce è una delle poche impronte che descrivono il modo in cui un sito decide chi è il visitatore. Una ricerca su un singolo hostname non può mostrare uno schema che esiste solo in forma aggregata.