En esta segunda entrega hablaremos sobre el ente más grande, influyente y poderoso dentro del internet. Sin él, la red mundial no sería la misma y muchos de los sistemas, plataformas y sitios web que conocemos hoy en día no existirían. Obviamente hablamos de Alphabet Inc., mejor conocido como Google.

Muchos conocemos y utilizamos diariamente el buscador de Google, Gmail, Youtube o alguna otra plataforma de Alphabet, pero vamos a explicar un poco cómo funciona su buscador, su herramienta más utilizada. Cuando escribimos en la barra del buscador de Google “Independencia de Panamá”, por ejemplo, los crawlers o arañas del motor de búsqueda comienzan su trabajo. Estos vendrían siendo pequeños programas que se ejecutan en paralelo y se encargan de buscar las páginas de internet en donde aparezcan las palabras que introducimos en el buscador, “Independencia” o “de” o “Panamá”. La araña recorre todo el texto de una página y al momento de encontrar un enlace que redirija a otro sitio web entonces va hacia este otro sitio y vuelve a repetir el proceso.

Luego de haber encontrado todos los sitios web que mencionan las palabras que hemos buscado, se utiliza un sistema de puntuación, inferencia, enlaces cruzados y referencias para dar un orden a los sitios web que han sido encontrados para luego así darnos un resultado ordenado dependiendo del nivel de importancia que tenga cada página web. Todo esto se hace en alrededor 0,5 segundos.

Lo importante aquí es saber que todo este proceso de exploración, o mejor conocido como indexación, inicia desde una lista de sitios web previamente utilizados por búsquedas pasadas y también con la ayuda de los sitemaps puestos en disposición por los dueños de los sitios web. Cada vez que un nuevo sitio web aparece dentro del proceso de búsqueda es agregado al index de Google, el cual hoy en día cuenta con más de 1000 millones de GigaBytes.

El nivel o la profundidad de la búsqueda dentro de un sitio web puede ser limitada y hasta restringida, utilizando las herramientas de Search Console puestas a disposición por Google, o utilizando el fichero robots.txt en nuestro sitio web. Este último es un fichero que debe estar en la raíz de nuestro sitio, en donde damos indicaciones de qué contenido puede o no ser explorado por motores de búsqueda dentro de nuestro sitio web.

Al momento de crear un sitio web, si este maneja información sensitiva o confidencial de usuarios, clientes, estudiantes, empleados entre otros, es recomendable crear un fichero robots.txt bien configurado para que los motores de búsqueda no muestren como resultados páginas dentro del sitio web que contengan parte de esta información que debe ser protegida. El motor de búsqueda debe respetar las reglas que existan dentro de este fichero, de lo contrario estarían accediendo de manera ilegal.

Ahora que conocemos cómo funciona el poderoso buscador de Google podemos explicar cómo utilizarlo para buscar información “interesante” sobre un objetivo o víctima. Google implementó los Google Dorks o palabras claves que pueden ser utilizadas al momento de realizar una búsqueda para filtrar o especificar el contenido. Sabiendo esto, Johnny Long de Hackers for Charity crea Google Hacking DataBase (o GHDB ). Esta base de datos contiene hasta la fecha más de 4500 entradas en las que cada una de ellas nos indica la manera de usar Google Dorks para buscar información muy específica y que pueda comprometer y exponer datos sensibles, privados o confidenciales. Por ejemplo hay Dorks que nos permiten encontrar contraseñas de cuentas de Facebook, accesos a distintas bases de datos, información de contacto sobre una persona en específica, respuestas a formularios supuestamente anónimos, sitios que contengan archivos con información confidencial, y un gran etcétera.

Si se sabe usar GHDB en conjunto con palabras clave sobre la víctima y si existen sitios web que contengan información sensitiva sobre ésta pero que no hayan sido configurados de manera adecuada, entonces un atacante puede fácilmente usar un Dork para encontrar la información que desee sobre la persona que intenta perjudicar. Lo más peligroso de esto es que no se necesitan conocimientos técnicos para hacerlo, ni mucho menos herramientas ni programas especializados, sólo se necesita acceso a internet y al poderoso Google.

~ Boris Antonio.