Descarregar sites que utilizam mod_auth_pam

Sobre mod_auth_pam

Os módulos de servidor são a parte de uma pilha que um site não é suposto anunciar. O mod_auth_pam é um módulo do Apache que entrega a autenticação ao sistema operativo, por isso um pedido de uma página protegida é validado face à mesma infraestrutura de identidade que governa as contas de shell, o que na prática significa utilizadores Unix, um serviço de diretório ou um domínio Kerberos e não uma tabela de palavras-passe da web.

A razão para o usar é administrativa e não técnica. Uma organização com uma única fonte de verdade para a identidade não quer uma segunda a viver dentro de uma aplicação web, por isso o módulo existe para evitar manter um repositório de palavras-passe paralelo. Um padrão destes pertence a intranets, a ferramentas internas, a painéis administrativos e a sistemas universitários muito mais do que a sites comerciais, o que significa que uma deteção diz muitas vezes que o domínio não é sequer um produto público.

A idade importa aqui. O módulo data de 1998, está escrito em C, foi lançado com licença GPL v2, e está efetivamente congelado há muito tempo. Um componente de autenticação que fica no caminho do pedido e já não recebe atenção é por si só um facto relevante para a segurança, independentemente de alguma vez ter sido mal configurado num servidor concreto.

A deteção é inferencial e a ressalva é grande. Um servidor revela a sua lista de módulos apenas quando está configurado para ser falador, através de tokens de servidor verbosos, de um manipulador de estado exposto, ou de uma página de erro predefinida que ninguém substituiu, e todos os guias de segurança dos últimos anos dizem aos administradores para desligar isso. Em outubro de 2026 registamos o mod_auth_pam em 1260 servidores, por isso a população visível está enviesada para máquinas deixadas faladoras e não para um tipo particular de organização. Os nossos dados de versão são correspondentemente escassos, 2 cadeias distintas no total, concentradas em 1.1.1, que é o aspeto que costuma ter o software que parou de se mexer.

Para um inventário de superfície de ataque, esse enviesamento não é fatal. Um investigador que mapeia implementações antigas de Apache, um fornecedor que vende a migração para fora de um caminho de autenticação sem manutenção, e uma equipa de segurança que verifica se algo no seu próprio parque ainda liga o acesso web a contas de sistema querem todos o mesmo objeto, que é o conjunto completo de servidores onde o módulo é visível, juntamente com o resto da pilha por trás de cada um. Arrumada na categoria Web server extensions do nosso catálogo, a entrada é uma das poucas impressões digitais que descreve como um site decide a identidade de quem lhe acede. Uma consulta a um único nome de servidor não consegue mostrar um padrão que só existe no agregado.