Descarregar sites que utilizam Digest

Sobre Digest

O Digest é uma das entradas do nosso grupo na categoria Security em que a etiqueta descreve um mecanismo e não o produto de um fornecedor concreto. O endereço que o nosso registo guarda aponta para a norma de internet publicada do esquema de autenticação Digest do HTTP, o arranjo em que um servidor recusa um pedido e desafia o cliente a provar que conhece uma palavra-passe sem a enviar pela rede. O cliente responde com um resumo criptográfico calculado sobre o valor do desafio, o nome de utilizador, a palavra-passe, o método do pedido e o caminho, e o servidor recalcula o mesmo resumo para decidir se o pedido passa. É pelo desafio ser oferecido a quem o peça, antes de existir qualquer credencial, que o esquema é sequer observável a partir do exterior. Um domínio cai neste grupo porque uma resposta pediu credenciais dessa maneira, e não porque o dono de um site tenha andado à procura de algo chamado Digest.

É a leitura de segurança que torna o sinal digno de interesse. Resumir a palavra-passe em vez de a codificar foi uma melhoria face ao esquema mais simples que este veio substituir, mas o servidor continua a ter de guardar as credenciais numa forma que possa recalcular, a troca não oferece nada contra um atacante colocado no meio de uma ligação que não esteja já cifrada, e os resumos capturados ficam expostos a tentativas de adivinhação fora de linha. O que os sites do grupo têm em comum é uma postura e não um setor de atividade. Alguma coisa no domínio está fechada por um pedido de credenciais que o próprio servidor levanta, e não por uma página de autenticação integrada numa aplicação, que é a maneira mais antiga e mais simples de proteger uma diretoria, uma área administrativa ou uma cópia de testes que ninguém queria ter deixado acessível. O equipamento embebido responde por boa parte disto, já que routers, caixas de armazenamento, câmaras e servidores de impressão saem de fábrica com um pedido deste tipo na sua interface de gestão e acabam muitas vezes por responder num endereço público.

A honestidade quanto à contagem importa aqui. Em outubro de 2026 registamos o Digest em 437 sites. O número é um limite inferior e não um recenseamento, porque um anfitrião só aparece onde apresenta o desafio num caminho que realmente alcançamos, e tudo o que esteja atrás de um proxy que termine a autenticação ou envolvido numa autenticação de aplicação fica invisível enquanto o esquema corre por baixo. As colunas de fornecedor e de licença desta entrada estão vazias e assim vão ficar, por isso uma linha regista que se viu um pedido com esta forma e não qual o software que o produziu.

Uma consulta por domínio responde a uma pergunta que já se tem em mãos: alguém entrega um URL e quer saber como é que ele pede credenciais. A lista para descarregar responde à pergunta contrária, a que é muito mais difícil de fazer à mão. Dê-me todos os anfitriões que ainda apresentam este pedido à internet aberta, com o software de servidor por baixo, o país e o domínio de topo ao lado, e deixe-me ordenar por aquele desses campos que interessar hoje. Inverter a pergunta dessa maneira, de um anfitrião de cada vez para uma população inteira num único ficheiro, é o caminho prático para mapear superfícies administrativas expostas, auditar o que uma base de clientes de alojamento deixa acessível, ou observar a exposição a encolher ou a persistir entre rastreios.