Lek in Google Desktop Search ontdekt

Op de Rice Universiteit hebben een docent en twee studenten een lek gevonden in de Google Desktop Search-software. Dankzij deze fout in de software, die nog in een bètafase zit, kan een kwaadwillige via internet toegang krijgen tot de computer met de zoeksoftware. Google liet ondertussen wel al weten een oplossing voor deze fout aan het verspreiden te zijn. Om zoekresultaten van de lokale computer weer te geven wanneer een gebruiker op Google zoekt, controleert de software alle uitgaande verbindingen om zo een zoekopdracht op de internetvariant van Google te detecteren en de lokale resultaten in te kunnen voegen.

Een kwaadwillige gebruiker zou er echter voor kunnen zorgen dat de Desktop Search gelooft dat er naar Google gesurft wordt, terwijl dat eigenlijk niet het geval is. Daardoor voegt de software de lokale zoekresultaten in in de pagina van die kwaadwilligen, waarmee zij toegang krijgen tot deze gegevens. De ontdekkers van deze fout waren in staat een Java-applicatie te schrijven die hier misbruik van maakte, maar Google stelt dat er bij hun weten nog geen werkende exploits gesignaleerd werden.

Reacties (42)

[mschol]

ik vraag mij af waarom dit zulk groot nieuws is?

oke het is de google desktop search (whoohoo )

maar het bevind zich nog steeds in de beta fase dus is het logisch dat er bugs (grote en kleine) worden gevonden.

[Verwijderd]

Het is juist groot nieuws, omdat het aantoont hoe belangrijk testfases zijn en wat voor bugs er uit kunnen komen.

De google tool, zoals vele andere ook, zal uiteindelijk door vele gebruikers, zonder enig of met weinig besef van de impact geïnstalleerd gaan worden, met alle gevolgen van dien als het mis blijkt te zijn.

Dit is weer een waarschuwing aan alle beheerders van machines met bedrijfskritische informatie, dat ze, voor dat de tool echt op de markt komt, er voor moeten zorgen dat de gebruikers 'm niet (of alleen veilig, maar wat is veilig) kunnen installeren !!!

Fouten en bugs, kunnen niet genoeg aan de grote klok gehangen worden. Openheid leidt to kwaliteit!

[Bezulba]

het is een beta! geen final product... natuurlijk zitten daar bugs en fouten in... daar hoef je je gebruikers echt niet voor te beschermen, want als die een beta installeren en er dan problemen mee ontstaan is het fijn hun eigen schuld

[Verwijderd]

"Fouten en bugs, kunnen niet genoeg aan de grote klok gehangen worden."

alleen zo naar dat scriptkiddies en virus-kiddies tegenwoordig schijnen samen te werken met spam-hoeren. exploits worden steeds sneller ge-exploit om relay-netwerken te maken...

[TRON]

Ik hang het pas aan de grote klok wanneer bedrijven de exploit opgelost hebben. Een voordeel van het aan de spreekwoordelijke grote klok hangen is dat bedrijven druk achter zich hebben en het zo snel mogelijk gaan fixen. Een nadeel is dat scriptkiddies en spamhoeren, zoals jij die pino's beschrijft, hier ook meteen misbruik van gaan maken.

[Verwijderd]

Dan creeer je dus schijnveiligheid. Als je dit aan de grote klok hangt geef je de gebruiker de kans om te stoppen met de tool. En dat is zijn/haar recht en jouw plicht (ook bij beta producten). Nee, beta produkten mogen fouten bevatten, daarom zijn ze beta. De hele Open Source bestaat zowat alleen uit beta spullen (versie nummers onder 1).

Even een vergelijk maar: als jouw autofabrikant weet dat er een probleem is met de sloten aan jouw type auto en dat kan vrij schadelijk zijn (inbraak/diefstal). Vind jij dan dat ze dat moeten melden of niet als ze nog geen oplossing hebben. Als je het weet, kun je b.v. je auto binnen gaan stallen; 'm een tijd niet gebruiken, de leverancier gaan pushen...

Ik wil het weten, want ik zit met de gebakken peren als het mis gaat. Ik ben niet boos op een leverancier waarvan een beta produkt fouten bevat (zelfs niet bij gereleaste produkten). Ik wordt wel boos als ik weet dat ik niet op de hoogte gehouden wordt van zaken waar ik schade had kunnen leiden of erger nog had kunnen voorkomen als het wel had geweten.

[Verwijderd]

Feit is dat er al veel mensen deze software gebruiken ookal is hij in bèta. Al deze mensen zijn dus kwetsbaar voor een exploit gebaseerd op deze bug.

[84hannes]

Omdat het ondanks zijn beta status veel gebruikt wordt. Ok, eigen risico, maar lekken in de beta's van Firefox waren ook 'nieuws', om vergelijkbare reden.
De title vind ik trouwens erg suggestief, Eerste lek in GDS ontdekt.

[pietje63]

Na enkele maanden testen met zo'n grote gebruikersgroep pas een lek vinden, dat vind ik knap! Applausje voor de developpers van google desktop search.

Wat met opvalt aan de inleiding is dat er dus gegevens van mijn computer naar google worden gestuurd om 'mijn' zoekresultaten toe te voegen aan de gewone google. Ik dacht dat dit pas op laatste moment gebeurde, dus op mijn pc. Dat de google desktop search tool dus op mijn pc een stukje html toevoegde aan de zoekresultaten.

Dat het andersom gaat, dus dat de tool informatie naar google stuurt, vind ik sowieso niet al te fijn, zo kan google wel erg makkelijk alles van mij bijhouden.

* 786562 tommy84

[Gyske]

Je kunt de integratie met de online versie van google uitzetten bij preferences->Google Integration.
Dan zie je natuurlijk niet meer je lokale hits in de online versie van Google.

[Verwijderd]

pdf en id3 zitten wel in de msn desktop search dacht ik. Ik ben overgestapt van de GDS naar die van MSN. Vooral de MSN Deskbar vind ik geweldig, ik start en zoek er van alles uit.

[Verwijderd]

wacht maar totdat de hackers er zich mee gaan bemoeien.

[TheLunatic]

Ik kreeg gister van mijn firewall de mededeling dat de executable van de GDS veranderd was, kan dat hier mee te maken hebben ? Of was dat gewoon een automatische update van Google zelf ?

[Krul]

ja, ze hebben automagisch de executable geupdate. dus dat kan kloppen. wat ze veranderd hebben weet ik niet.

[shotputty]

Daarom blokkeer ik Google Desktop Search voor in- en uitgaand verkeer met sygate, ik hoef toch alleen lokaal te zoeken.

[tweakerbee]

Dan kun je net zo goed gewoon de standaard zoektooltjes gebruiken.

[shotputty]

Nee want als ik op internet zoek dan hebben we gewoon een zoekmachine die Google heet......

[Gyske]

Probeer het maar eens uit.
Als ik een oud mailtje zoek of een bepaalde java-klasse in mijn sourcecode, gebruik ik Google Desktop search. Gemiddeld heb ik binnen 0,15sec antwoord op mijn vraag.
Ik wens je veel succes om dat met windows search (ook met Indexing service) te evenaren.
Het is echt een fantastisch tooltje (download is 650Kb ofzo)!
Bij mij geindexeerd
5.909 emails.
16.473 webpagina's.
49.560 bestanden.

[Verwijderd]

Ik snap die ophef niet. Het is en beta versie. In die periode worden juist fouten opgespoord en eruit gehaald. Dus een hoop ophef om niets.

[Verwijderd]

Als je heel veel documenten hebt, dan weet je niet meer wat waar is of hoe je zo'n document genoemd hebt. Een presentatie die ik ooit een jaar geleden heb gemaakt, daar weet ik de naam niet meer van.

Misschien een structuur aanbrengen?

Bv:
- partitie "data"
-> map "studie"
---> map "naam studie"
-----> map "jaar"
-------> map "vak"
---------> map "periode" (evt)

voila, als je een presentatie zoekt voor vak x van vorig jaar weet je precies waar het staat.

- Studie
-- UTWente
-- INHOLLAND
---- 2004
-------- vak A
-------- vak B
------------ blok 1
------------ blok 2
---------------- presentatie x
---------------- presentatie y
------------ blok 3
-------- vak C
-- Saxion

[Orphix]

Maar wat als je nou bijvoorbeeld alle presentaties wilt hebben die met een logistiek onderwerp?

Elke directory structuur is slechts een weergave van een enkel perspectief erop. Maar je kan uiteraard op meerdere manieren naar hetzelfde kijken.

[FireWood]

Wordt een goed geheugen genoems, ik weet dat bijvoorbeeld vrij aardig(uit heel veel bestanden)

Sommige dingen vergeet je gewoon niet, mijn vader kan van ongeveer 15000 dia's precies vertellen op werlke dag en op welke plek die is genomen, terwijl er soms alleen een paar blaadjes te zien zijn.

Ik heb dat dus met computer bestanden...

[TheLunatic]

Ik heb in de tweede (of was het de derde?) van het HBO een presentatie gedaan over computers... maar ik weet niet meer of het voor Systeemontwikkeling was, of toch voor Databases & Management... Succes met zoeken

[Sjaakman]

Erm... Wie kan mij uitleggen waarom dit tooltje er nou eigenlijk is? Wat is nou DE meerwaarde?

[TheLunatic]

Dat je veel sneller dan normaal bestanden vindt op je eigen computer. Je doorzoekt in no-time je mail (probeer dat eens in Outlook met 5000 mails in je inbox) en zoekt ook binnenin bepaalde bestanden.

[Verwijderd]

Gaat lekker. Vandaag ook al op Full-Disclosure gelezen dat er een cross-site vulnerability zit in Google Groups. Okay, het is net als de Desktop Search beta spul, maar toch zal het mensen er wellicht van weerhouden Google's toekomstige producten te gebruiken.

[Verwijderd]

Nou nou, das toch echt heel erg zo'n cross site scripting vulnerability, weet je wel wat het betekend zonder op google te zoeken?

[nftk]

ik mis soms toch nog wat mb. Ik ben maar een arme student met 80GB aan ruimte

Ik weet echt wel wat ik gemaakt heb een jaar geleden het staat allemaal op cd. OF is uit geprint.

Voor mij gaat dit programma niet door dus.

[Verwijderd]

Klopt... maar gds en msn desktop search zijn dan ook niet zo geavanceerd. Je zou voor de gein eens moeten kijken naar de presentatie van osx 10.4 (tiger) van apple....

De nieuwe finder heeft een zoek functie waar zowel ms als google nog heel wat van kunnen leren

[HardinxCore]

Is er ook een GDS tool ( of vergelijkbare tool) die netwerk shares doorzoekt?

Of kan dat ook met GDS?

Mijn documenten staan namelijk alle op mijn server.