Le Google Hacking, ou comment pirater en utilisant Google

Un nouveau livre paraît ce mois-ci chez l'éditeur Dunod, ayant pour titre "Google Hacking". Traduction d'un livre anglais, introduit par Pascal Lointier, président du CLUSIF (Club de la sécurité des systèmes d'information français), il explique comment certains pirates utilisent Google pour obtenir des numéros de cartes bancaires des listes de mots de passe ou autres informations sensibles sur le Web. Nous vous proposons dans cet article une interview de Pascal Lointier, qui présente le livre, ainsi que des extraits de l'ouvrage.

Formidable outil de recherche sur l'Internet, Google serait-il victime de son succès au point de connaître un détournement de ses fonctionnalités aux fins de piratage et d'espionnage ? C'est là tout l'enjeu des techniques du Google Hacking ! En effet, les fantastiques capacités de stockage des pages web et d'indexation de leurs contenus de Google sont aussi une porte ouverte aux hackers qui peuvent accéder, à partir de requêtes judicieusement construites, à quantité d'informations sensibles.

 Interview de Pascal Lointier (président du CLUSIF)

Pascal Lointier, président du CLUSIF (Club de la Sécurité des Systèmes d'information français) et préfacier du livre de Johnny Long, Google Hacking (adaptation française, Dunod, 2005), (http://www.dunod.com/pages/ouvrages/ficheouvrage.asp?id=49421) nous dévoile les risques encourus par les organisations et les personnes, pour leur permettre de mettre en place une stratégie de "contre-intelligence économique"…

Pouvez-vous nous présenter l'auteur de Google Hacking, Johnny Long, et votre rôle dans l'adaptation française de ce livre ?

Johnny Long est un spécialiste de la sécurité des réseaux. Il s'occupe, en particulier, de la mise en place des infrastructures de sécurité pour des organisations gouvernementales ou de grandes entreprises. Il a créé un site Internet (http://johnny.ihackstuff.com/) dédié au "Google Hacking" et à ses utilisations. Il a une grande renommée dans le monde "underground" – ce qui n'est jamais évident – et ses analyses font autorité.

Il intervient dans de nombreuses conférences au niveau international.

Pour ma part, je suis le président du CLUSIF (http://www.clusif.asso.fr/), association spécialisée dans la sécurité de l'information, et je suis ingénieur en sécurité chez ACE Europe. Les Éditions Dunod ont fait appel à moi pour rédiger un avant-propos sur le cadre légal dans lequel s'inscrit cet ouvrage, pour le préfacer, et aussi pour en assurer une relecture technique.

Pourquoi Google est-il devenu l'un des outils privilégiés des hackers ?

Il faut en fait se rendre compte que Google donne aujourd'hui accès à d'innombrables informations et documents. Des agents automatiques de Google circulent sur l'ensemble du web et en aspirent le contenu, s'il n'y pas de tag (indicateur présent dans le code source de la page web) spécifique contraignant ou dissuasif, car il est souvent possible de passer outre un tel tag.

Google suit ainsi les ramifications des sites et des pages qu'il rencontre pour indexer les contenus. Ce faisant, il cartographie l'ensemble du réseau et donc aussi les réseaux Intranet d'entreprises ou d'administrations lorsque la sécurité est trop permissive.

Cela signifie que Google permet d'obtenir des informations sur des "entités". Il est en effet possible, via les opérateurs de recherche avancée, d'effectuer des requêtes spécifiques pour retrouver une liste de mots de passe ou un fichier de noms d'utilisateurs, par exemple. On comprend dès lors aisément l'intérêt qu'il y a à détourner un outil qui donne un accès rapide et simple à de telles données…