Descarregar sites que utilizam Kerberos

Sobre Kerberos

Um esquema de autenticação feito para uma rede de campus, onde todas as máquinas e todos os utilizadores já estavam registados junto de uma autoridade central, não tem nada de óbvio a fazer num levantamento da web pública. E no entanto o Kerberos aparece mesmo, raramente, e cada aparição diz alguma coisa de muito concreto sobre a máquina em que foi encontrado.

O Kerberos saiu do MIT em 1988 e é publicado como software com licença Open Source. O desenho é um sistema de bilhetes: um cliente prova-se uma vez perante um terceiro de confiança, recebe um bilhete com validade limitada e apresenta esse bilhete aos serviços em vez de enviar uma palavra-passe seja para onde for. Décadas de infraestrutura de identidade empresarial foram construídas sobre essa ideia, e o protocolo continua a ser o núcleo de autenticação das grandes instalações de diretório corporativo.

O que torna o Kerberos visível a um rastreador é um cabeçalho de negociação. Um servidor que queira autenticação integrada responde a um pedido não autenticado com um desafio que nomeia o mecanismo, e um navegador dentro do domínio certo responde ao desafio em silêncio. Tudo nessa troca está desenhado para uma rede interna, por isso encontrá-la num nome de máquina que resolve a partir da internet aberta significa que uma aplicação interna foi publicada para fora, deliberadamente ou não.

Em outubro de 2026 registamos o Kerberos em 1 site nos nossos dados da categoria Security. O número deve ser lido como um limite inferior, e bastante restrito. Os recursos protegidos desta forma ficam normalmente atrás de uma VPN, em DNS de horizonte dividido ou em nomes de máquina que nenhum rastreador alguma vez recebe, e nada disso entra num levantamento público. O que a contagem capta é o resto exposto.

O resto exposto é a parte interessante para vários tipos de investigador. As equipas de segurança que levantam a sua superfície de ataque externa querem saber quais dos seus próprios nomes de máquina respondem com um desafio empresarial, porque uma resposta dessas revela a arquitetura interna a quem a pedir com educação. Os fornecedores que vendem migrações para início de sessão único querem a mesma lista pelo lado contrário, porque uma máquina que ainda oferece o desafio antigo é uma máquina que ainda corre a pilha de identidade antiga. E quem modela a forma como a autenticação empresarial legada persiste precisa de nomes e não de uma percentagem.

Uma consulta por domínio responde à pergunta que já se sabia fazer. O valor de uma lista descarregável está na consulta inversa: todas as máquinas que vimos a oferecer isto, sem que nenhum domínio tenha sido fornecido de antemão. Para um protocolo cuja razão de ser é ficar dentro do perímetro, o registo interessante é o que acabou por ficar fora dele.