Google Te Ayuda a Hackear




Los hackers suelen usar software ilegal para acceder a la información privada que reside en la Red o en las redes informáticas privadas. Pero el último as que acaban de sacar de la manga es una herramienta que todos los usuarios de la Web conocen muy bien: Google. ¿Para qué tomarse la molestia de arremeter contra un sitio web en busca de vulnerabilidades que hayan pasado inadvertidas cuando se puede entrar con toda comodidad por la puerta delantera? Es lo que muchos hackers acaban de hacer con la ayuda de Google, que les simplificó la tarea de caer sobre sus objetivos.
"Google, correctamente potenciado, tiene más potencial de intrusión que cualquier herramienta de hackeo", expresó el hacker Adrian Lamo, que hace poco dio la voz de alarma.
Estas intrusiones se pueden realizar gracias a que existen bases de datos con conexión a Internet. Como las herramientas de gestión de bases de datos utilizan plantillas (templates) estandarizadas para presentar los datos en la Red, al ingresar ciertas frases específicas el usuario muchas veces puede acceder directamente a las páginas que utilizan esas plantillas. Por ejemplo, al ingresar la frase "Select a database to view" (seleccionar una base de datos para ver) -una fase habitual en la interfaz de base de datos FileMaker Pro- en el Google, se obtuvieron alrededor de 200 links, de los cuales casi todos conducían a bases de datos creadas con FileMaker a las que se puede acceder online. En algunos pocos casos, las bases de datos contenían información confidencial. Una de ellas contenía las direcciones, los números de teléfono y las biografías detalladas de cientos de docentes afiliados a Apple Computer. También incluía el nombre de usuario y la contraseña de cada docente. Esta base de datos no estaba protegida por ningún sistema de seguridad. Otra búsqueda nos llevó a una página de la Facultad de Medicina de la Universidad Drexel, que contenía un enlace a una base de datos en la que constaban 5.500 legajos de los pacientes de neurocirugía de esa facultad. En estas historias clínicas constaba la dirección y el número de teléfono del paciente, junto con un registro detallado de las enfermedades que había padecido y los tratamientos que le habían sido administrados. Una vez que Google conduce al visitante a la página, el hacker no tiene más que tipear un nombre de usuario y una contraseña idénticos (en pocas palabras, el nombre de la base de datos) para poder acceder a esa información. El acceso web a ambas bases de datos se había logrado con el FileMaker Pro Web Companion, un componente de la aplicación FileMaker Pro, que cuesta 299 dólares y está dirigida principalmente a los usuarios que recién se inician en el tema. De acuerdo con lo expresado por FileMaker, el Web Companion "convertirá una base de datos de usuario único en una solución en red para usuarios múltiples en un solo paso... Los usuarios autorizados podrán buscar, editar, borrar y actualizar los registros con los buscadores web más populares". Apple no respondió a los llamados de la prensa, pero la base de datos de los docentes aparentemente fue sacada de Internet el viernes por la tarde.
La Universidad Drexel cerró de inmediato su base de datos cuando se le informó acerca de la vulnerabilidad que la afectaba. Linda Roth, vocera de la institución educativa, señaló que las autoridades de la universidad no tenían conocimiento de que esa información estuviera online, ya que no era un sitio autorizado. El decano de Drexel también envió un memo a todos los empleados reiterando la política de esa universidad en contra de las bases de datos no autorizadas. Esta institución educativa va a revisar su red para asegurarse de que ninguna otra base de datos haya sido publicada en Internet, señaló Roth. Un vocero de FileMaker señaló que esa empresa hace todo lo que está a su alcance para que los usuarios tomen conciencia de los problemas de seguridad.
"Somos sumamente conscientes de la seguridad y de lo necesaria que es", expresó Kevin Mallon. "Publicamos informes de seguridad y actualizaciones de software en nuestro sitio, y enviamos a nuestros usuarios registrados notificaciones en las que les informamos acerca de la necesidad de implementar medidas de seguridad". Mallon señaló, no obstante, que la configuración de los derechos de acceso y la selección de las contraseñas adecuadas en última instancia es responsabilidad del usuario. "Estamos constantemente recalcándoles a nuestros usuarios que deben ser concientes del grado de exposición que desean -o, aún más importante, del grado de exposición que no desean- que tengan las bases de datos que publican en la Red", Con respecto a la vulnerabilidad de la base de datos de la Universidad Drexel, Fred Langston, consultor principal de Guardent, una empresa que brinda servicios de seguridad informática, señaló que ese incidente puede hacerse debido en parte a que esa clase de instituciones por lo general promueven la apertura en lo que al intercambio de conocimientos se refiere. "Hemos trabajado mucho en universidades y en hospitales universitarios, y es el ámbito donde más cuesta imponer normas de seguridad, porque tienden a tener un modelo de intercambio de información abierto", señaló Langston. "Eso hace que sea muy difícil imponer restricciones a los datos: en un entorno de enseñanza, así es como la gente adquiere y amplía sus conocimientos". "Y aunque (la vulnerabilidad) no hubiera sido expuesta a través de Google, en algún momento hubiera quedado expuesta igual".
El vocero de Google señaló que la empresa tiene conocimiento de la situación, y que brinda herramientas que permiten a los webmasters (administradores web) eliminar del índice del Google la información publicada inadvertidamente en un lapso de aproximadamente 24 horas. En este momento están trabajando en el desarrollo de herramientas que permitirán eliminar estos datos aún con mayor celeridad. Pero eliminar los links después de que se ha producido un incidente no es una solución muy elegante, expresó Lamo.
"Cuando tu historia clínica aparece en el índice de Google, hay algo que anda mal".
Por:Christopher Null
Nota:
Por ejemplo si usas lo siguiente:
1 - www.google.com
2 - Buscar
"Index of /admin" + passwd
o
"Index of /wwwboard" + passwd
o
"Index of /backup" + mdb
Veras grandes resultados.!


Otras artículos de interés:

Guía de operaciones de seguridad para Windows 2000 Server (PARTE III)
Asegurar servidores basándose en su función. En el capítulo anterior, observamos cómo se puede usar una directiva de grupo para definir la configuración de seguridad en los servidores. En este capítulo, veremos aspectos más específicos, com...
Sincronizar tus archivos locales con box.com - Debian - Ubuntu y Derivados
Ya hemos publicado como sincronizar nuestros archivos en la nube en Pcloud y Google Drive. Recuerda que tambien puedes hacerlos con Mega y Dropbox que ya treaen clientes linux bastante amigable. Por lo que ya no hay excusas para que pierdas tu dat...
Monografía de Sistemas Operativos
Indice 1. Introducción 2. Tipos de Sistemas Operativos 3. Sistemas de Archivos 4. Administración de la Memoria 5. Administración de Procesos 6. Principios en el Manejo de Entrada - Salida 7. Núcleos de Sist...
Como incluir lista de IP para bloquear en csf.deny
CSF firewall ( http://configserver.com/ ) es un excelente script para manejar nuestro firewall, podemos hacerlo por consola o directamente desde la interface web del CSF, empero por...
Instalando Samba en Ubuntu para compartir archivos e impresoras en redes MS-Windows
Samba es un programa Open Source que nos permite compartir archivos e impresoras desde una computadora Linux a PC con MS Windows como si fuera una mas de ella, lo cual es muy util ya que podemos tener un servidor de archivos y de impresión basado en...
Eliminar OpenOffice e Instalar LibreOffice ( Ubuntu )
Como ya sabemos la adquisición de Oracle al comprar Sun Microsystem produjo varios cambios, debido que Oracle realizó cambios drásticos en algunos de las aplicaciones de Software Libre, entre ellas OpenOffice, por lo que la c...
Optimiza Ubuntu / LinuxMint y derivados editando sysctl
.Estilo1 {font-style: italic} Abrir y editar (Agregue y/o modifica los valores necesarios) el archivo sysctl.conf ejecutamos por consola: sudo gedit /etc/sysctl.conf...
¿Que es el Bonding?
Bonding es una forma de obtener enlaces redundantes en bridges, tanto en aparatos de alta gama, como en máquinas con software libre. Bonding es un driver que originalmente venía con los parches para clusters beowulf. Desde...
Cortafuegos (Firewall)s: Test de fugas
Es fácil disponer de un cortafuegos que evite que otros equipos inicien y establezcan conexiones al nuestro. Sin entrar en más detalles, cualquier cortafuegos es capaz de eso con más o menos grado de sofisticació...
OpenDNS como servidor DNS Alternativo en UBUNTU
Algunas veces nuestro proveedor de servicios de internet posee un servicio de DNS de muy poca calidad, ejemplo ABA CANTV (WTF), por lo que es mejor usar unos DNS alter...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • ayuda
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • google
  • gpl
  • gtk
  • hack
  • hackear
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra