Analis Keselamatan Memberi Peringatan 'Google Hacking'

Enjin carian seperti Google semakin digunakan oleh penggodam terhadap aplikasi Web yang memegang data sensitif, menurut pakar keselamatan.

Walaupun dengan kesedaran yang semakin meningkat tentang keselamatan data, diperlukan beberapa detik untuk memetik nombor Jaminan Sosial dari laman web menggunakan istilah carian yang ditargetkan, kata Amichai Shulman, pengasas dan ketua pegawai teknologi untuk database dan syarikat keselamatan aplikasi Imperva.

Fakta bahawa nombor Keselamatan Sosial bahkan di Web adalah kesilapan manusia; maklumat itu tidak boleh diterbitkan di tempat pertama. Tetapi penggodam menggunakan Google dengan cara yang lebih canggih untuk mengotomatisasi serangan terhadap laman web, kata Shulman.

Shulman berkata Imperva baru-baru ini telah menemukan cara untuk melaksanakan serangan suntikan SQL yang berasal dari alamat IP (Internet Protocol) yang dimiliki oleh Google.

Dalam serangan suntikan SQL, arahan berniat jahat dimasukkan ke dalam bentuk berasaskan Web dan dijawab oleh aplikasi Web.

Shulman enggan memberikan butiran tentang bagaimana serangan itu berfungsi semasa pembentangannya pada Persidangan RSA pada hari Isnin, tetapi mengatakan ia melibatkan Google sistem pengiklanan.

Manipulasi Google amat berguna kerana ia tidak dikenali untuk penggodam selain enjin serangan automatik, kata Shulman.

Alat seperti Goolag dan Gooscan boleh melakukan carian luas di seluruh Web untuk tujuan tertentu kelemahan dan senarai pulangan laman web yang mempunyai masalah tersebut.

"Ini bukan lagi permainan skrip kiddy - ini perniagaan," kata Shulman. "Ini adalah keupayaan penggodam yang sangat kuat."

Kaedah serangan lain adalah cacing Google yang menggunakan enjin carian untuk mencari kelemahan tertentu. Dengan kemasukan kod tambahan, kelemahan boleh dieksploitasi, kata Shulman.

"Pada tahun 2004, ini adalah fiksyen sains," kata Shulman. "Pada tahun 2008, ini adalah realiti yang menyakitkan."

Google dan enjin carian lain mengambil langkah untuk menghentikan penyalahgunaan. Sebagai contoh, Google telah menghentikan beberapa jenis carian yang boleh menghasilkan nombor Keselamatan Sosial dalam satu tangkapan tunggal. Ia juga meletakkan had jumlah permintaan carian yang dihantar setiap minit, yang boleh melambatkan pencarian besar-besaran untuk laman-laman web yang terdedah.

Secara realitinya, ia hanya menimbulkan peretas menjadi lebih bersabar.

Shulman berkata dia melihat satu lagi serangan yang disebut "peletakan tapak," yang menyebabkan laman web yang sah menjadi mudah hilang dari hasil carian.

Enjin carian Google menghukum laman web yang mempunyai kandungan pendua dan akan menggugurkannya dari indeksnya. Hacker boleh memanfaatkan ini dengan membuat laman web yang mempunyai pautan ke laman Web pesaing tetapi ditapis melalui pelayan proksi.

Google mengindeksakan kandungan di bawah domain proksi itu. Jika ini dilakukan dengan cukup waktu dengan lebih banyak pelayan proksi, Google akan mempertimbangkan laman web yang ditargetkan sebagai pendua dan jatuhkannya dari indeksnya.

"Ini cukup kerumitan," kata Shulman.

Salah satu cara pentadbir laman web boleh mempertahankan terhadap ini adalah menghalang laman web mereka daripada diindeks oleh apa-apa selain alamat IP yang sah dari enjin carian, kata Shulman