Estas aquiContenido / Google Desktop encuentra agujeros
Google Desktop encuentra agujeros
Por Bruce Schneier
El programa de búsqueda de Google para el escritorio es tan bueno que le revela vulnerabilidades que usted desconocía.
El mes pasado Google publicó una versión beta de su software de búsqueda para el escritorio: Google Desktop Search. Instálela en su ordenador Windows y crea un índice que permite búsquedas de sus ficheros de datos, incluyendo archivos del procesador de textos, hojas de cálculo, presentaciones, páginas web cacheadas y sesiones de chat. La capacidad de búsqueda de Windows siempre ha sido mediocre y Google resuelve el problema bastante bien.
Pero hay algunos asuntos que mencionar sobre seguridad...
El problema radica en que GDS indexa y encuentra documentos que usted podría preferir que no encontrase. Por ejemplo, GDS busca en el caché de su navegador. Esto le permite encontrar páginas webs antiguas que usted visitó, incluyendo extractos bancarios on-line, mensajes personales enviados desde webmails y páginas web protegidas por contraseñas.
GDS también permite recuperar ficheros cifrados. No, no rompe el cifrado ni guarda copia de la clave. Sin embargo, busca el caché de Windows, algo que puentea algunos programas de cifrado por completo. Y si se instala el programa en un ordenador con múltiples usuarios, se pueden buscar documentos y páginas webs de todos los usuarios.
GDS no hace nada equivocado; está indexando y buscando documentos tal y como se supone que haga. Las vulnerabilidades son debidas al propio diseño de Internet Explorer, Opera, Firefox, PGP y otros programas.
Para empezar, los navegadores Web no deberían almacenar páginas cifradas con SSL o páginas con correo personal. Si las almacenan, deberían al menos preguntar antes al usuario.
Segundo, un programa de cifrado que deja copias de ficheros descifrados en la caché está mal diseñado. Esos ficheros están ahí con independencia de que GDS los busque.
Tercero, la habilidad de GDS para buscar ficheros y páginas Web de múltiples usuarios de un ordenador fue muy comentada por la prensa cuando se descubrió. No tiene ningún sentido. Se ha de ser administrador del ordenador para poder hacer esto, lo que da acceso a los ficheros de todos los usuarios en cualquier caso.
Algunos echan a Google la culpa de estos problemas y sugieren, equivocadamente, que Google debería corregirlos. ¿Y si Google cediera a la presión del público y modificara GDS para evitar que busque información confidencial? Los problemas subyacentes seguirían existiendo: las páginas web privadas seguirían estando en el caché del navegador, el programa de cifrado seguiría dejando copias de ficheros en texto claro en el caché del sistema operativo, y el administrador aún podría fisgar el ordenador de cualquiera para ver a qué accede. Lo único que habría cambiado es que estas vulnerabilidades de nuevo estarían ocultas para el usuario medio de ordenadores.
Al final, esto sólo puede dañar la seguridad.
GDS es muy bueno buscando. Es tan bueno que expone vulnerabilidades de su ordenador que usted desconocía. Y ahora que sabe de ellas, presione a sus fabricantes de software para que las solucionen. No dispare al mensajero.
Desktop Google Finds Holes
Traducción al español por Kriptópolis.
(C) Bruce Schneier para el original y la traducción.
Para colmo que ya le quieren echar la culpa a google de sus vulnerabilidades... tener que escuchar eso...
luego de leer el articulo me decidi a instalar el gdesktop pero al ver la pagina de configuración... encontre extraño que se brinden las opciones:
1. Enable search over AOL and AIM chats
Google Desktop Search will store your chats and make them searchable.
2. Enable search over secure web pages (HTTPS) seen in Internet Explorer
Google Desktop Search will store secure web pages that you view and make them searchable.
leyendo literalmente gd es quien va a almacenar las paginas webs y las conversaciones chat... que alguien me diga si me equivoco al interpretar... es el gd o es la cache de windows el responsable por el almacenamiento de paginas HTTPS ?
salu2,
jc
Supongo que la unica solucion es que todos los programas cacheen las cosas siempre encriptadas. Por que cachear han de cachear ( menudas patadas a la RALE con el verbo 'cachear' y sus conjugaciones :-) )
Tal vez en determinados casos se podria pensar en un sistema en el que ninguna aplicacion cachee nada al disco duro, pero vamos, en general seria un lastre.
Y el problema afecta no solo al navegador y al programa de correo, afecta a todas las aplicaciones. Puedes recibir un email encriptado y abrirlo con un procesador de texto o cualquier otra aplicacion de tu sistema, de hecho es bastante normal. Ya puede ser tu programa de correo muy seguro y cuidadoso con la cache, que si alguien tiene acceso al disco duro y has abierto un email con alguna aplicacion, estas frito.
Limpiar la cache al salir tampoco es 100% seguro, por que si la aplicacion se queda frita o el pc entero, la cache se queda ahi. Mientras estas trabajando tambien.
El tema de encriptar la cache, a mucha gente aun le parecera un poco paranoico, pero es una solucion. La clave podria existir solo en memoria, unicamente durante una sesion. O algo asi, no se.
Lo mejor, es usar en vez de ordenador papel de carbon y lapiz. Y luego comerse los restos...