| |
VSantivirus No. 1121 Año 7, Sábado 2 de agosto de 2003
Google ayuda a los piratas a crackear sitios web
http://www.vsantivirus.com/ar-google-cache.htm
Por Angela Ruiz
angela@videosoft.net.uy
[Basado en un artículo publicado por NewScientist.com]
Los piratas informáticos acuden a Google para encontrar los puntos débiles de los sistemas, informa la publicación NewScientist.com.
Según el informe, los piratas han adoptado una sorprendente estrategia en sus tentativas de crackear sitios web. Utilizando el popular motor de búsqueda de Google, no tienen que visitar un sitio para planear un ataque. En vez de eso, pueden obtener toda la información que necesitan de las versiones de las páginas que Google guarda en su caché.
Una forma en que los piratas informáticos pueden ingresar a un sitio web, es capturando páginas privadas que contienen el nombre de usuario y las contraseñas requeridas para conseguir el acceso a las áreas seguras del sitio. Estas páginas generalmente se esconden de la navegación normal, porque no existen hipervínculos a ellos en otras páginas.
Pero a veces, los sitios guardan enlaces ocultos o índices que apuntan a estos sitios privados. Estas páginas pueden ser creadas por un software defectuoso, o por el propio webmaster para un uso temporal, y luego olvidadas, o no borradas apropiadamente. De todos modos, se trata de una grave fuga de seguridad.
Los piratas informáticos, generalmente pueden localizar estas páginas privadas por el método de la prueba y el error, una actividad que un webmaster alerta puede detectar controlando el tráfico a partes del sitio que se supone son privadas. Pero los motores de búsqueda, ahora hacen innecesaria esta clase de escaneo, dice Johnny Long, un hacker profesional que reside en los EEUU y que es empleado por las compañías para probar su seguridad.
Los motores de búsqueda construyen sus bases de datos siguiendo sistemáticamente las conexiones que encuentran en las páginas web. El buscador registra el contenido de cada página. Cualquier enlace a otra página también será registrada.
A pesar de ello, para un pirata todavía serían difíciles de encontrar estas páginas si los servidores web no utilizaran casi siempre el mismo nombre para aquellas que contienen las contraseñas y otra información sensible. Por ejemplo, un nombre de archivo común para guardar las contraseñas es "bash history". Long dice que una combinación obvia de términos de búsqueda incluiría los términos "bash history", "temporary" y "password".
Desde que Google hace que sus páginas guardadas en el caché estén disponibles, los piratas pueden conseguir acceso a esta información sin poner sobre aviso al webmaster, incluso si los datos ya fueron borrados del sitio. Long planea resumir esta técnica, esta semana en Defcon, la conferencia anual de Hackers que se realiza en Las Vegas.
Google no acepta responsabilidad por la forma en que se utilice la información reunida. "Nuestros herramientas de búsqueda son muy útiles para los investigadores. No hay mucho que podemos hacer para prevenir el hacking", dice un portavoz de la compañía.
La responsabilidad por la seguridad de un sitio depende de la gente que lo opera, expresa Danny Sullivan, editor del sitio SearchEngineWatch.com: "Las máquinas de búsqueda hacen más fácil a todos el obtener información, piratas informáticos incluidos".
Por otra parte, existen técnicas que todo webmaster responsable debería emplear, para impedir que un buscador capture páginas que no desea sean localizadas. Entre ellas el uso del archivo ROBOTS.TXT que puede contener información para que sitios como Google no lo registren.
Se trata de un simple archivo de texto, en el raíz del sitio con instrucciones como éstas:
User-agent: *
Disallow: /ejemplo
Hay más parámetros, pero es fácil darse cuenta que estas instrucciones le dicen a cualquier buscador (User-agent: *), que no examine el directorio /ejemplo (Disallow: /ejemplo).
El propio Google explica esto, junto a otras técnicas diferentes, en el siguiente enlace:
¿Desea eliminar contenido del índice Google?
http://www.google.com/intl/es/remove.html
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
