Scaricare i siti web che utilizzano OpenSSL

Informazioni su OpenSSL

Quasi tutto il resto di questo dataset viene rilevato perché un sito ha scelto di pubblicarlo. Con OpenSSL le cose vanno diversamente, perché di solito la libreria compare solo quando un server fornisce spontaneamente un’informazione che non era tenuto a inviare. Un’intestazione di risposta che nomina la libreria crittografica, e talvolta la sua build esatta, è un dettaglio di configurazione più che una scelta progettuale, e se resta esposto su internet è soprattutto per disattenzione. Qualsiasi analisi basata su questa riga deve partire da questo fatto, perché la popolazione non è costituita dai siti che usano la libreria. La popolazione è costituita dai siti che la dichiarano.

La differenza è enorme. La libreria si trova alla base di una quota molto ampia dell’infrastruttura di internet, dentro web server, server di posta, runtime dei linguaggi, bilanciatori di carico, database e appliance, quindi dall’esterno si resta enormemente lontani dal dato reale di utilizzo. A ottobre 2026 la rileviamo su 1.131.014 siti, e il numero va letto come il sottoinsieme che la dichiara. I server configurati per nascondere i banner di versione, o posti dietro un proxy che riscrive le intestazioni, sono esclusi per definizione, e sono in misura sproporzionata quelli amministrati in modo professionale.

Il sottoinsieme che dichiara la libreria resta comunque prezioso, ed è prezioso proprio per ciò a cui la dichiarazione è correlata. Un server che pubblicizza ancora la propria libreria crittografica tende a essere un server configurato una volta e poi lasciato a sé stesso. I dati sulle versioni sostengono questa lettura. Tra i siti in cui la versione è leggibile registriamo 220 stringhe distinte, e quella che annotiamo più spesso è 1.0.2k, una release di un’epoca del software conclusa da anni. Una coda lunga di build invecchiate è lo stato normale di un’infrastruttura di cui nessuno ha la responsabilità.

Qui le avvertenze vanno espresse con fermezza, perché è il punto in cui un dataset si presta più facilmente a un uso improprio. Una stringa di versione non è una valutazione delle vulnerabilità. Le distribuzioni enterprise integrano le correzioni di sicurezza nelle versioni precedenti mantenendo il numero di versione originale, quindi una build che sembra antichissima può avere ricevuto tutte le patch, e il banner non lo dirà mai. La stringa riportata può anche derivare da un valore predefinito di compilazione anziché dalla libreria effettivamente in esecuzione. Chi tratta questi valori come un elenco di bersagli fa qualcosa di tecnicamente sbagliato ed eticamente indifendibile. Gli usi legittimi sono l’inventario, la gestione del parco, la ricerca e la valutazione del rischio dei fornitori, e dipendono tutti dal sapere che cosa espongono il proprio parco o i propri fornitori.

Letto in questo modo, il file risponde a domande a cui le verifiche per singolo dominio non possono rispondere. Un ricercatore di sicurezza che si chiede con quale rapidità il web dismetta le vecchie build crittografiche ha bisogno di una popolazione e di osservazioni ripetute, non di una singola risposta. Un provider di hosting che verifica il proprio spazio di indirizzi ha bisogno di tutti i siti che gestisce, non solo di quelli che hanno già generato un reclamo. Un ufficio acquisti che valuta i fornitori ha bisogno di controllare in una volta sola l’intero elenco dei fornitori. Il filtro per paese, dato che dei siti rilevati 273.675 si trovano negli Stati Uniti, o quello per estensione, dove .com è quella che registriamo più spesso, restringe ciascuna di queste analisi al parco che interessa davvero.

Anche il contesto aiuta. Mantenuta da OpenSSL Project con licenza Apache 2.0 e disponibile dal 1998, la libreria è sopravvissuta alla maggior parte del software costruito sopra di essa, ed è per questo che la sua cronologia delle versioni è uno dei migliori indicatori disponibili di quanto a lungo un determinato server sia rimasto in funzione senza che nessuno lo toccasse.