Descarregar sites que utilizam OpenSSL

Sobre OpenSSL

Quase tudo o resto neste conjunto de dados é detetado porque um site escolheu publicá-lo. O OpenSSL é diferente, porque normalmente só aparece quando um servidor oferece informação que não era obrigado a enviar. Um cabeçalho de resposta que nomeia a biblioteca criptográfica, e por vezes a sua compilação exata, é um detalhe de configuração e não uma decisão de desenho, e sobrevive na internet pública sobretudo por desatenção. Qualquer análise construída sobre esta linha tem de partir desse facto, porque a população não são os sites que usam a biblioteca. A população são os sites que a revelam.

A distinção é grande. A biblioteca está por baixo de uma fatia muito grande da infraestrutura da internet, dentro de servidores web, servidores de correio, ambientes de execução de linguagens, balanceadores de carga, bases de dados e equipamentos dedicados, pelo que o número real de utilização é inalcançável a partir de fora por uma margem enorme. Em outubro de 2026 detetamo-la em 337 312 sites, e esse valor deve ser lido como o subconjunto que se revela. Os servidores configurados para suprimir os banners de versão, ou que têm à frente um proxy que reescreve cabeçalhos, estão ausentes por construção, e esses são desproporcionadamente os que têm administração profissional.

O subconjunto que se revela continua a ser valioso, e é valioso precisamente por aquilo com que essa revelação está correlacionada. Um servidor que ainda anuncia a sua biblioteca criptográfica tende a ser um servidor que foi configurado uma vez e depois deixado em paz. As provas de versão sustentam essa leitura. Nos sites onde a versão é legível registamos 203 cadeias distintas, e a que mais vezes registamos é 1.0.2k, uma versão de uma era do software que terminou há anos. Uma cauda longa de compilações envelhecidas é o estado normal de uma infraestrutura que ninguém tem a seu cargo.

Aqui as ressalvas têm de ser ditas com firmeza, porque é neste ponto que um conjunto de dados é mais facilmente mal utilizado. Uma cadeia de versão não é uma avaliação de vulnerabilidades. As distribuições empresariais retroportam correções de segurança mantendo o número de versão original, pelo que uma compilação de aspeto antiquíssimo pode estar totalmente corrigida, e o banner nunca o dirá. A cadeia declarada também pode vir de um valor compilado por omissão e não da biblioteca em execução. Quem trata estes valores como uma lista de alvos está a fazer algo tecnicamente errado e eticamente indefensável. Os usos legítimos são o inventário, a gestão de parque, a investigação e a avaliação de risco de fornecedores, e todos dependem de saber o que o seu próprio parque ou os seus próprios fornecedores expõem.

Lido assim, o ficheiro responde a perguntas a que as verificações por domínio não conseguem responder. Um investigador de segurança que queira saber com que rapidez a web reforma compilações criptográficas antigas precisa de uma população e de observações repetidas, não de uma só resposta. Um fornecedor de alojamento que audite o seu próprio espaço de endereços precisa de todos os sites que opera, não apenas daqueles que já deram origem a uma queixa. Uma equipa de compras que avalie fornecedores precisa da lista completa verificada de uma só vez. Filtrar por país, onde nos Estados Unidos se concentram 78 142, ou por sufixo, onde .com é o que registamos mais vezes, restringe qualquer uma dessas perguntas ao parque que realmente lhe interessa.

O contexto também ajuda. Mantida pelo OpenSSL Project com licença Apache 2.0 e disponível desde 1998, a biblioteca sobreviveu à maior parte do software construído sobre ela, e é por isso que o seu historial de versões é um dos melhores indicadores disponíveis do tempo durante o qual um dado servidor esteve a funcionar sem lhe tocarem.