Scapare in Google desktop search

Un cercetator de la Universitatea Rice si doi studenti au descoperit o scapare de securitate, posibil serioasa, in unealta de cautare desktop pentru PC-uri oferita de Google.

Scaparea, care poate permite unui atacator sa caute in secret prin continutul unui PC prin Internet, este ceea ce oamenii de stiinta numesc scapare de compozitie – o vulnerabilitate a securitatii care apare cand componentele separate interactioneaza. In momentul in care sunt unite, apare lipsa de securitate, afirma Dan Wallach, profesor asistent care a descoperit scaparea alaturi de cei doi studenti Seth Fogarty si Seth Nielson.

Google a introdus o versiune test a uneltei de cautare desktop pe data de 14 octombrie, care poate fi descarcata gratuit. Programul indexeaza materialul de pe hard disk-ul local al utilizatorului apoi combina rezultatele cautarii pe Web cu informatii precum mailul electronic, documente text si alte fisiere. Scaparea ar permite cautarii sa dezavluie doar o portiune mica a fisierelor.

Modul in care este creat software-ul, intrebarile utilizatorului, insa nu informatii stocate local, sunt distribuite prin Internet.

Printr-un comunicat, compania a afirmat ca a fost anuntata de aceasta scapare la sfarsitul lunii noiembrie si a inceput distribuirea unei noi versiuni a motorului de cautare desktop care repara potentiala scapare. Introducerea acestei unelte de cautare face parte din competitia fata de Microsoft si Yahoo.

Microsoft a creat o versiune test a uneltei de cautare desktop disponibila de o saptamana, fiind parte a toolbarului MSN, si Yahoo afirma ca va incepe testarea unei unelte asemanatoare in ianuarie.

Cercetatorii din Universitatea Rice afirma ca nu au examinat programul de cautare desktop al Microsoft, insa au observat ca serviciul nu pare sa integreze rezultalele cautarilor locale si cele Web precum o face unealta Google.

Cercetatorii afirma ca vulnerabilitatea securitatii la Google consta in modul in care Google Dektop a fost creat sa intercepteze conexiuni spre exterior a retelei de pe calculatorul utilizatorului.

Programul cauta traficul care pare a ajunge la Google.com apoi introduce rezultatele de pe hard disk-ul utilizatorului pentru o cautare particulara. Ei au aflat ca este posibila inselarea programului de cautare desktop al Google sa introduca aceste rezultate pe alte pagini Web unde un atacator le poate citi.

Un atac ar necesita ca un utilizator sa viziteze situl Web al atacatorului, apoi orice tip de browser Web ar putea face ca utilizatorul sa devina vulnerabil. Google afirma ca nu sunt dovezi legate de astfel de atacuri.

Grupul Rice a fost capabil sa creeze un program Java care retransmite conexiunile de retea spre calculatorul de unde a fost descarcat apoi apare parca cere o cautare prin Google.com.

Acest lucru este destul pentru software-ul Google sa ofere informatiile de cautare a utilizatorului.

Programul a fost capabil sa opereze orice cu aceste rezultate, inclusiv transmiterea lor spre situl atacator.

Conform cercetatorilor, Google a raspuns repede la alerta lor din luna trecuta, si a inceput lansarea versiunii corectate a programului din 10 decembrie.

Programul desktop al Google contine o trasatura update care permite companiei sa instaleze in mod automat noi versiuni ale programului pe calculatoarele utilizatorilor fara interventia acestora. Utilizatorii pot afla daca versiunea lor este actualizata prin examinarea paginii „about” din task bar. Numerele versiunii peste 121,004 indica o editie noua a programului.

Sursa: www.news.com, preluat de SmartNews.