С транно е как мнозина продължават да живеят с усещането за сигурност, въпреки че използват ежедневно световната мрежа.
Какво ли ще си помислят инвеститорите след като разберат, че компанията, която промени значително облика на интернет чрез множество нововъведения в последните години и чиито акции продължават да са пазарен хит, е в услуга на ловците и търговците на корпоративни и лични тайни?
Удивително е, но се оказва, че един от най-опасните за сигурността сайтове е Google.com, разказва IDG.BG.
На малцина е известно, че Google индексира всички файлове, които не са защитени. Не правят изключение дори пароли и строго секретни документи.
Вината за това е на първо място в собствениците на сайта, които не си дават труда да го защитят.
Именно затова новият хит в хакерските среди е използването на услугите на Google. Дори не е необходимо да инсталират специализирани инструменти - скенери на портове и анализатори на протоколи.
Една проверка може да установи до какви данни може да се доберем, използвайки Google. Човек може да се натъкне на неочаквани неща - като например секретни PowerPoint презентации, създадени за водещи концерни като "Сименс" и "Сън".
Освен това се намират и множество архиви на електронна кореспонденция, както и огромно количество пароли и номера на кредитни карти.
При това не се налага да се идентифицираш, за да получиш достъп до данните. Google поднася всичко на тепсия.
Не бива да се учудвате, че информацията от такъв характер може да бъде открита с помощта на Google.
Търсачката използва хиляди софтуерни роботи (ботове), които непрестанно и напълно легално кръстосват необятните простори на световната мрежа, записвайки всяка намираща се там информация.
Освен това Google получава данни и от своите партньори - такива например са "Опера". Във времето, когато компанията "Опера" предлагаше платена версия на своя браузър, безплатната, чиято цена бе банер с реклами, изпращаше на Google списък с посетените от потребителя сайтове.
Така сърфиращият бива категоризиран според предпочитанията си и започва да се облъчва с реклами, които се предполага, че ще го заинтригуват.
Освен това, към всеки адрес, посетен от потребителя, се изпраща още един бот, чиято задача е да добави сайта в необятната база данни. Ще се убедите, че много от сайтовете в базата данни на Google не бива да бъдат там.
Секретните файлове на компании и частни лица
Ако формулирате правилно заявката си към Google, за секунди можете да се сдобиете с всички необходими ви файлове с поверително съдържание.
За това ви е необходимо да знаете правилното заклинание, състоящо се от ключови думи за търсене и необходимия "оператор".
Ето и до какво може да доведе едно прецизно търсене. Всеизвестно е, че от много време данните в множество фирми се изнасят в лесно смилаеми презентации в PowerPoint, чието файлово разширение е ppt.
За да уточнят за кого е предназначена информацията, прилежните служители във фирмите и учрежденията с радост поставят надписи "Секретно" или "За служебно ползване" в презентацията.
Затова и трябва да включиме тези термини в ключовите думи при търсенето. При заявка:
ext:ppt confidential "for internal use only".
Само след секунда Google предоставя списък от над 35 000 файла, отговарящи на зададените критерии. Сред тях са и вече споменатите презентации на гигантите "Сън", "Сименс" и фалиралата преди време "Енрон".
Пиратски mp3 файлове в каталози и архиви
На всеки е хрумвала идеята да съхрани на сървър в мрежата копие на системата си за черни дни.
Тези сървъри са невидими извън България. Ако обаче решите да качите това понякога жизненоважно копие на сървър, индексиран от Google, имайте едно на ум.
Ако сте софтуерен пират, можете да попаднете в полезрението на организации, чиито абревиатури са познати вече и у нас: IFPI - грижеща се за правата на звукозаписната индустрия или BSA - отстояваща интересите на производителите на софтуер.
Естествено, те няма да ви потърсят днес или утре, но един ден може да поискат сметка и от обикновения пиратстващ потребител.
В търсене на архиви, поместени в мрежата, може да се опита с ключови думи и отново с оператора "ext:", но резултатът е незадоволителен.
Като се има предвид, че каталозите носят стандарто заглавие "Index of/", това е друг вариант за търсене.
Но на тази заявка Google предоставя над 700 млн. отговора, затова трябва да се конкретизира. MP3 например може да се търси по следния начин:
"Index of /" +MP3
Интернет магазини издават данните на клиентите си
Въпреки непрестанното усъвършенстване на системите за идентификация, в много електронни магазини все още има фрапиращи пропуски.
Клиентите могат да станат жертва на хакери твърде лесно и по елементарен начин. До пароли и множество номера на кредитни карти може да се стигне учудващо лесно.
С помощта на Google може да се доберем до номера на кредитни карти. За тази цел може да се използва оператора Numrange.
Ако човек реши да търси карти Visa, може да зададе в полето "visa 4060000000000000... 4060999999999999".
Известно е, че картите запозват със стандартната комбинация 4060, а всяка следваща цифра може да е произволно число от 0 до 9.
Това търсене няма да доведе до нищо, тъй като явно Google филтрира подобни заявки. За да се добере до номерата, търсещият подобна информация може да прегледа в базите данни и сайтове, където се намират потребителските профили.
С помощта на безобиден код може да се потърси информация за достъп до тази секция:
inurl:"login.asp"
Така като резултати излизат повече от два млн. сайта, затова провелите опита ограничават списъка с оператора "intitle:", което позволява целенасочено търсене сред магазини, специализирани в продажба на програмни пордукти.
Резултатът е донякъде плашещ: с помоща на една команда изследващите неподозираните възможности на Google влизат в първия онлайн магазин от списъка им.
Освен администраторските пароли има достъп до архива с клиентските бази данни с всичките му атрубути: номер на картата, адрес на доставката и други подобни.
Промишлен шпионаж с помощта на факс и уебкамера
Огромно количество факсове, принтери, уебкамери и други периферни устройства са включени в мрежата без каквато и да е парола, като по този начин са достъпни за недоброжелатели.
Може да се провери какви тайни пазят тези устройства. Ако се започне с фразата "Network Attached Devices" (устройства, включени в мрежата) и отново се използва оператора "intitle:", за търсене може да се зададе:
intitle: "Home" "Xerox Corporation" "Refresh Status"
В резултат от търсенето се получава списък от десетки устройства, произведени от Xerox и включени към Интернет. На някои дориможе да се видят документите, които се печатат в момента.
Уебкамерите също са идеални за шпионаж. Тези "аксесоари" често се използват от мнителни работодатели и воаьори. Иначе в последно време влизат в употреба и за охрана на офиси и сгради.
В името на проучването търсенето е стеснено до програмата xpWebcam, заданието с оператора "inurl:"
intitle:"my webcamXP server!" inurl:":8080"
За жалост и тук нещата се оказват много тревожни: в Мрежата се откриват няколко десетки уебкамери, много от тях незащитени с пароли.
Мечтата на воаьора - чрез незащитените с парола камери лесно може да се надникне в нечий офис или интимно пространство.
Шпионаж с програми за отдалечен достъп
Въпреки опитите на защитаващите авторските права организации да наложат запор върху ползването на технологии за обмен на данни с или без централен сървър (каквито са peer-to-peer клиентите), те вече са неразделна част от живота дори на обикновения "жител" на виртуалното пространство.
Популярни програми за отдалечен достъп като eMule, VNC Desktop и Windows Remote Workplace са в помощ на милиони.
За хакерите обаче тези програми се явяват отличен инструмент да се доберат до желаното. За достъп до съответните данни хакерите използват най-често операторите "intitle" и "allintitle".
Проучилите възможностите на Google предупреждават, че се откриват хиляди страници, съдържащи информация за Outlook Web Access с фразата:
allintitle:microsoft outlook web access - logon
Каква информация Google индексира но не показва
Ако създателят на даден сайт пожелае да ограничи достъпа на търсешите машини до някои части от сайта, той трябва да обозначи забранените за индексация директории във файла robots.txt.
Това е текстов файл, а всеки ред в него, започващ с "Disallow:", показва на търсещите роботи, че трябва да пропуснат тази част при индексирането на страницата.
Тези части често са със свободен достъп, но не попадат в базите данни на търсещите системи. Обикновено възпиращият код за Google е:
ext:txt robots
Не е тайна, че за ескперименти като гореописания се използват най-често сайтовете на администрацията на САЩ и някои големи компании в страната.
Затова може да се провери какво е скрил администраторът на сайта на Белия дом.
При търсенето на "www.whitehouse.gov/robots.txt" излиза странен резултат: "/911/patriotism/text/". Защо ли е решено да се скрие страницата с патриотичните писма на деца до техния президент?
Може би обаче някой буден ум ще се учуди, че подобни експерименти не са направени със сайтовете на нашите държавни институции.
Притеснителен е бил фактът, че оспомените от времето, когато на сървърите на родния парламент бяха открити пълнометражни порно филми, още са пресни.
Само година по-късно Google индексира проектозакон с гриф "Строго секретно".
А в нашата страна, намираща са на 34 място в света по свобода на журналистическото слово, съвсем скоро бе съден румънски журналист, защото снима корумпирани сънародници на митнически пункт. Пресен е и споменът за журналистите от Би Би Си.
Дано този урок за възможностите на Google послужи за укрепване на сайтовете на родните институции, както и за предпазване на личните и корпоративни данни на потребителите.
