Por Bruce Schneier

El programa de búsqueda de Google para el escritorio es tan bueno que le revela vulnerabilidades que usted desconocía.

El mes pasado Google publicó una versión beta de su software de búsqueda para el escritorio: Google Desktop Search. Instálela en su ordenador Windows y crea un índice que permite búsquedas de sus ficheros de datos, incluyendo archivos del procesador de textos, hojas de cálculo, presentaciones, páginas web cacheadas y sesiones de chat. La capacidad de búsqueda de Windows siempre ha sido mediocre y Google resuelve el problema bastante bien.

Pero hay algunos asuntos que mencionar sobre seguridad...

El problema radica en que GDS indexa y encuentra documentos que usted podría preferir que no encontrase. Por ejemplo, GDS busca en el caché de su navegador. Esto le permite encontrar páginas webs antiguas que usted visitó, incluyendo extractos bancarios on-line, mensajes personales enviados desde webmails y páginas web protegidas por contraseñas.

GDS también permite recuperar ficheros cifrados. No, no rompe el cifrado ni guarda copia de la clave. Sin embargo, busca el caché de Windows, algo que puentea algunos programas de cifrado por completo. Y si se instala el programa en un ordenador con múltiples usuarios, se pueden buscar documentos y páginas webs de todos los usuarios.

GDS no hace nada equivocado; está indexando y buscando documentos tal y como se supone que haga. Las vulnerabilidades son debidas al propio diseño de Internet Explorer, Opera, Firefox, PGP y otros programas.

Para empezar, los navegadores Web no deberían almacenar páginas cifradas con SSL o páginas con correo personal. Si las almacenan, deberían al menos preguntar antes al usuario.

Segundo, un programa de cifrado que deja copias de ficheros descifrados en la caché está mal diseñado. Esos ficheros están ahí con independencia de que GDS los busque.

Tercero, la habilidad de GDS para buscar ficheros y páginas Web de múltiples usuarios de un ordenador fue muy comentada por la prensa cuando se descubrió. No tiene ningún sentido. Se ha de ser administrador del ordenador para poder hacer esto, lo que da acceso a los ficheros de todos los usuarios en cualquier caso.

Algunos echan a Google la culpa de estos problemas y sugieren, equivocadamente, que Google debería corregirlos. ¿Y si Google cediera a la presión del público y modificara GDS para evitar que busque información confidencial? Los problemas subyacentes seguirían existiendo: las páginas web privadas seguirían estando en el caché del navegador, el programa de cifrado seguiría dejando copias de ficheros en texto claro en el caché del sistema operativo, y el administrador aún podría fisgar el ordenador de cualquiera para ver a qué accede. Lo único que habría cambiado es que estas vulnerabilidades de nuevo estarían ocultas para el usuario medio de ordenadores.

Al final, esto sólo puede dañar la seguridad.

GDS es muy bueno buscando. Es tan bueno que expone vulnerabilidades de su ordenador que usted desconocía. Y ahora que sabe de ellas, presione a sus fabricantes de software para que las solucionen. No dispare al mensajero.

Desktop Google Finds Holes
Traducción al español por Kriptópolis.
(C) Bruce Schneier para el original y la traducción.