Scaricare i siti web che utilizzano SimpleSAMLphp

Informazioni su SimpleSAMLphp

Su una pagina normale il single sign-on è invisibile. SimpleSAMLphp diventa visibile solo nel momento in cui un browser viene passato a un provider di identità, ed è per questo che compare sugli endpoint di login e sui sottodomini dei provider di servizi, non sulla porta d’ingresso di un sito. A ottobre 2026 la libreria compare su 1155 siti.

La libreria implementa l’autenticazione federata in PHP, è distribuita con licenza LGPL e ha una storia pubblica che risale al 2007. La parola chiave è federazione. Un sito che parla questo protocollo ha accettato di fidarsi di un provider di identità esterno, il che significa che l’organizzazione alle sue spalle fa già parte di una federazione o gestisce una propria directory, e che qualcuno ha configurato a mano metadati, certificati e mappature degli attributi. Nessuno si ritrova in quella posizione per caso.

La popolazione che ne risulta ha un profilo ben riconoscibile. Reti della ricerca e dell’istruzione, portali della pubblica amministrazione, biblioteche, ospedali e grandi aziende sono il tipo di dominio in cui il login federato vale il costo della configurazione, quindi l’elenco funziona come indicatore indiretto di organizzazioni dotate di un programma di gestione delle identità, non di una semplice casella per la password. I fornitori che vendono governance delle identità, autenticazione a più fattori, migrazione di directory o gestione degli accessi privilegiati cercano esattamente questo criterio di qualificazione, e il sito di un’azienda non lo dichiara.

I ricercatori di sicurezza leggono lo stesso elenco per un motivo diverso. Le librerie di autenticazione sono bersagli di alto valore, la rotazione dei certificati è un compito operativo ricorrente e i componenti di identità ospitati in proprio ricevono le patch con i tempi di chi li ha ereditati. Un inventario solido degli host che eseguono una determinata implementazione è il punto di partenza per misurare l’esposizione dopo la divulgazione di una vulnerabilità.

Vale la pena dichiarare i limiti. Il rilevamento richiede un endpoint raggiungibile che riveli l’implementazione, quindi le installazioni all’interno di una rete privata, dietro un elenco di indirizzi autorizzati o precedute da un proxy che riscrive i percorsi rivelatori non vengono contate, e il numero è una stima per difetto, non la base installata. Per questi host non estraiamo nemmeno una stringa di release, quindi il dataset indica dove gira l’implementazione e non quale versione risponde alla richiesta.

La ricerca per singolo dominio è adatta quando l’organizzazione è già nota. L’elenco scaricabile serve quando è proprio l’organizzazione ciò che si sta cercando, e quando il profilo tecnologico circostante, il paese di hosting e l’estensione di dominio di ciascun host contano per la risposta quanto l’impronta stessa.