Slo-Tech - Pred kratkim je Google izdal iskalnik za osebne računalnike poimenovan Google Desktop Search. Iskalnik išče datoteke po disku, med elektronsko pošto ter v medpomnilniku (cache). Uporabna zadeva? Vsekakor. A kot kaže tudi nevarna.
Eden izmed uporabnikov poštne liste PGP-USERS namreč poroča o eksperimentu, ki dokazuje, da uporaba programa PGP in Google Desktop Search-a ne gresta skupaj.
GDS namreč indeksira in v svoj pomnilnik doda vse dokumente, ki si jih uporabnik ogleda, tudi tiste, ki so zašifrirani (indeksira jih po tem, ko vnesete geslo), enako stori tudi z vsemi spletnimi stranmi, tudi tistimi, ki so zaščitene z geslom in uporabljajo SSL dostop. Celoten indeks pa GDS shrani na znano, nešifrirano in enostavno dostopno lokacijo na trdem disku, ki je seveda lahko dostopna tudi - hekerjem.
Test je potekal takole:
uporabnik je najprej ustvaril datoteko pptf.txt, jo zašifriral s PGP 8.1 in jo popolnoma izbrisal iz račnalnika (z 32-kratnim prehodom); na disku je ostala samo zašifrirana različica datoteke pptf.txt.pgp. Nato je poiskusil datoteko poiskati in dobil naslednji dve sporočili: "The following file cannot be found: C:\t\pptf.txt" ter "This is one version of C:\t\pptf.txt from your personal cache.", pod sporočilom pa se je izpisala nešifrirana vsebina datoteke!
To pomeni, da v nekaterih kritičnih okoljih (npr. na prenosnem poslovnem računalniku) uporaba Desktop Google Search-a skupaj s PGP-jem ni varna, saj GDS podatke v indeksu hrani še po tem, ko so bili izbrisani ali zašifrirani. Morda pa se bodo kmalu pojavili tudi črvi, ki bodo kradli pomembne podatke iz GDS medpomnilnika ...
Novice » Zasebnost » Google Desktop Search in PGP
Jst ::
Zame GDS ni v tem primeru slaba stvar. Kječejmu dobra. Saj nam pokaže nepravilnosti in varnostne luknje našega preljubega operacijskega sistema.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
marS ::
ta preizkus je res pokazal ranljivost, ampak:
iskanje z Google Desktop Search je bliskovito in bistveno hitrejše od bilokakega iskanja ki ga imate v računalniku.
pa to pmanjkljivost bodo slej kot prej odpravili.
iskanje z Google Desktop Search je bliskovito in bistveno hitrejše od bilokakega iskanja ki ga imate v računalniku.
pa to pmanjkljivost bodo slej kot prej odpravili.
...no more heroes...
https://ilbis.com/
https://ilbis.com/
RejZoR ::
Jst,pri tem nima OS popolnoma nobene veze. Kriv je GDS ki indexira na tak način.
Always blaming Windows
Always blaming Windows
Angry Sheep Blog @ www.rejzor.com
BBB ::
To me zelo spominja na zaščitene glasbene CDje. CD, katerega glasbo lahko poslušaš, ni zaščiten - čeprav v analogni obliki lahko vedno narediš legalno/nelegalno kopijo (glasba je analogna zadeva, avtorsko je neodvisna od medija in formata zapisa). Podobno je v tem primeru s podatki. Dokler so ti zakodirani, ni problema. Če bi za vekomaj ostali v takem stanju, bi bili neuporabni (tako kot glasba, ki je zaščitena v digitalni obliki). Torej jih je potrebno pred uporabo odkodirati. Kdorkoli oz. katerikoli program ima v tem trenutku dostop do dekodiranih podatkov, lahko z njimi naredi, kar ga je volja. Konkretno gre za GDS, ki dobi dekodirane podatke, ko jih PGP dekodira v času uporabnikovega dostopanja do fajla.
Če je kodiranje podatkov namenjeno varovanju podatkov pred zlikovci, mora kodiranje izvesti program, ki je tudi porabnik podatkov - interno kodiranje/dekodiranje v programu. Že če so dekodirani podatki takega programa posredovani preko sistemskih funkcij uporabniku, jih je mogoče prestreči. Pomembo je le, da ima tisti, ki se jih hoče polastiti dostop do njih vsaj v trenutku in na mestu dekodiranja.
GDS ima očitno enak problem kot pozabljivci, ki si veliko stvari pišejo na listke, tudi zaupne podatke, kot so gesla. Kaj bodo naredili ustvarjalci GDS: odstranili bodo indeksiranje dekodiranih podatkov. Kaj bodo naredili avtorji trojanskih konjev: po želji bodo ustvarjali in razpošiljali kopije dekodiranih podatkov. Torej so podatki zaščiteni s PGP približno tako varni kot z alarmom in blokado motorja zaščiten avto, ki ga lastnik pusti prižganega in odklenjenega, ko za 5 minut skoči v bife po cigarete.
Kar se tiče varnosti in paranoje. Večina podatkov, ki jih imajo domači uporabniki, niso vredni ovohavanja, kaj šele kraje. Od uporabnih so le kakšne številke bančnih računov ter pripadajoči certifikati in gesla. V podjetjih pa je zaupnih podatkov nekaj več (nihče si ne želi razdajati rezultatov lastnega razvoja).
Če je kodiranje podatkov namenjeno varovanju podatkov pred zlikovci, mora kodiranje izvesti program, ki je tudi porabnik podatkov - interno kodiranje/dekodiranje v programu. Že če so dekodirani podatki takega programa posredovani preko sistemskih funkcij uporabniku, jih je mogoče prestreči. Pomembo je le, da ima tisti, ki se jih hoče polastiti dostop do njih vsaj v trenutku in na mestu dekodiranja.
GDS ima očitno enak problem kot pozabljivci, ki si veliko stvari pišejo na listke, tudi zaupne podatke, kot so gesla. Kaj bodo naredili ustvarjalci GDS: odstranili bodo indeksiranje dekodiranih podatkov. Kaj bodo naredili avtorji trojanskih konjev: po želji bodo ustvarjali in razpošiljali kopije dekodiranih podatkov. Torej so podatki zaščiteni s PGP približno tako varni kot z alarmom in blokado motorja zaščiten avto, ki ga lastnik pusti prižganega in odklenjenega, ko za 5 minut skoči v bife po cigarete.
Kar se tiče varnosti in paranoje. Večina podatkov, ki jih imajo domači uporabniki, niso vredni ovohavanja, kaj šele kraje. Od uporabnih so le kakšne številke bančnih računov ter pripadajoči certifikati in gesla. V podjetjih pa je zaupnih podatkov nekaj več (nihče si ne želi razdajati rezultatov lastnega razvoja).
CaqKa ::
Zame GDS ni v tem primeru slaba stvar. Kječejmu dobra. Saj nam pokaže nepravilnosti in varnostne luknje našega preljubega operacijskega sistema.
človek božji kaj ima OS pri tem?
človek božji kaj ima OS pri tem?
gfighter ::
Caqka: Čisto nič...
Catapultam habeo. Nisi pecuniam omnem mihi dabis, ad caput saxum immane mittam
Jst ::
Google lahko umakne tudi dostop do datotek drugega uporabnika. Ampak, a to reši problem? Dejsto je, da so podatki še vedno tam, dostopni vsakomur z malo znanja.
To ni način, da narediš podatke "varne".
To ni način, da narediš podatke "varne".
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
Jst ::
Če je podatek zakodiran, potem živ bog ne sme nekaj by the way dati v personal cache. Nikamor.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
ginekolog ::
se strinajm, da je mogoč vdor v zabenost s GDS. Recimo imam porno slikico, ravno sem jo dobil iz digitalca pa jo hočem zakodirat. Preden mi to uspe, lahko GDS to poindexira, shrani slikico v index in jo zlorabi (ali kdo drug). Precej bedno. Razen če se bo dalo v GDS nastavit, v katere mape naj NE vohlja. Potem bo "ok"
Divers do it deeper.
darkolord ::
Ja sam on nekako ne more vedet, da je tisto porno slikca, ki jo misliš zakodirat...
čeprav po drugi strani je res, da bi fajl potem, ko se ga izbrise, lahko odstranil iz svojega cachea
čeprav po drugi strani je res, da bi fajl potem, ko se ga izbrise, lahko odstranil iz svojega cachea
BBB ::
ginekolog, misliš, da je GDS res tako pohoten program, da bi ti zlorabil tvojo porno slikco?
darklord, mislim, da sva enakega mnenja. Torej PGP zakodira, uporabnik da zahtevo po branju, PGP prebere, dekodira in posreduje sistemu, ta pa preko programa uporabniku (zapisani zakodirani podatki ostanejo nespremenjeni), GDS pritakne parklje in prebrane dekodirane podatke indeksira. Tako nekako si jaz to predstavljam.
darklord, mislim, da sva enakega mnenja. Torej PGP zakodira, uporabnik da zahtevo po branju, PGP prebere, dekodira in posreduje sistemu, ta pa preko programa uporabniku (zapisani zakodirani podatki ostanejo nespremenjeni), GDS pritakne parklje in prebrane dekodirane podatke indeksira. Tako nekako si jaz to predstavljam.
M.B. ::
@ V GDS si lahko nastaviš po katerih datotekah naj ne išče. Samo help je treba prebrati I don't want Desktop Search to search my . . .
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.
Sadly only a handful ever progress past that point.
poweroff ::
Problem so default nastavitve. GDS bi moral že po defaultu imeti izključene pgp in pgd datoteke.
sudo poweroff
BigWhale ::
Ena simple opcija, ki bi se ji reklo purge file bi morala obstajat, ko bi pgp zadevo encryptal, bi pognal (magari bi to sam pgp naredil) gugl_purge file_that_was_just_ecrypted.txt
in google bi zadevo pobrisal iz cache-a.
in google bi zadevo pobrisal iz cache-a.
pecorin ::
problem je, da ce lahko tako stvar naredi google desktop search, potem to lahko naredi tudi heker, rocno ali s programom, ki deluje podobno kot google d. search...
kako bi pa to resili?
kako bi pa to resili?
CCfly ::
Podatki ki so v medpomnilniku, so bili indeksirani preden jih je uporabnik zakodiral. Noben heker brez dostopa do nekaj superračunalnikov ne bo razkodiral datoteke (razen če uporabljamo zelo kratek ključ).
"My goodness, we forgot generics!" -- Danny Kalev
BigWhale ::
Ne mores, dokler bo pgp tak kot je... Dokler ne bos imel editorja, ki bo sproti kriptiral. Pa se takrat imas nekje v ramu nekriptirano sporocilo...
_Tom_ ::
Fantje,..problem ni GDS, ampak narava samega medpomnilnika oz. delovanja OS in PGP. GDS je le pokazal, kako lahko se do takih podatkov pride. In exclusion pgp datotek je irelevanten, saj so te tako in tako kodirane. Delna rešitev je neuporaba diskovnega pred oz. medpomnilnika ( kar pa, zaenkrat, ni mogoče ) in zaščita dostopa do rama ( kateri se on-the-fly prazni in ne, da bo kot medpomnilnik še "dva dni" potreboval za "purge". ) .
cRaZY ::
Jah to v bistvu pokaze pomanjlkjivost PGP-ja. Pa tudi ostalih zadev (passwordi v mailih,... torej vse kar GDS pobere). Ce lahko GDS dobi te podatke, potem jih lahko dobi tudi kaksen pritajen program.
Po moje je to, da GDS vse to najde, dobra zadeva. Bodo pac ostali (PGP, maili v passwordih, ....... ... ... ..) prisiljeni odkriti nacin, kako stvari narediti bolj secure. Pa naj bo to bolj varna koda, ali pa nek cisto drugacen nacin delovanja.
Po moje je to, da GDS vse to najde, dobra zadeva. Bodo pac ostali (PGP, maili v passwordih, ....... ... ... ..) prisiljeni odkriti nacin, kako stvari narediti bolj secure. Pa naj bo to bolj varna koda, ali pa nek cisto drugacen nacin delovanja.
Jst ::
Lepo da se strinjamo.
...
Na to sem pa res alergičen. Nekdo pokaže na pomankljivost/luknjo/lasnost Winsows based operacijskega sistema, pa je takoj črna ovca.
Zresnite se!
...
Na to sem pa res alergičen. Nekdo pokaže na pomankljivost/luknjo/lasnost Winsows based operacijskega sistema, pa je takoj črna ovca.
Zresnite se!
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
Jst ::
V bistvu tega sploh nisem trdil.
...
V interesu nam je imeti secure os. In zakaj se ne bi učili z napak drugih?
...
V interesu nam je imeti secure os. In zakaj se ne bi učili z napak drugih?
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
BBB ::
Jst, to je luknja pri pristopu reševanja problematike z varovanjem podatkov nasploh. Kot sem že nazorno povedal, ni problem v kodiranih podatkih, temveč v razkritju v trenutku njihove uporabe. Takrat mora priti do dekodiranja. In če ima takrat nepovabljena oseba/program dostop do njih, lahko z dekodiranimi podatki naredi, kar želi. Zato mora biti dostop do dekodiranih podatkov na voljo res le tistemu, komur so namenjeni. Ker se trojanec zelo "spoprijatelji" z operacijskim sistemom, mu sistem brezpogojno zaupa in mu da dostop do vsega, do česar ima dostop sam (podobno kot ti človek zlahka "zaupa" svoj denar, ko mu v hrbet naperiš nabito pištolo). Torej, če zna kdorkoli prelisičiti tistega, ki ti dekodira podatke, da so namenjeni njemu, bo prišlo do neupravičenega razkritja zaupnih podaktov. Konec koncev je pri tem povsem vseeno ali dekodira podatke iz svoje glave oseba (pretvori v govor, pisano besedo ali kakorkoli drugače) ali z diska oz. pomnilnika operacijski sistem ali program.
minmax ::
bbb: pocakaj na digital in alaog watermarking tehnike in na detekcijo v snemalnih napravah... prihajajo.
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | Google ukinja manj popularne storitveOddelek: Novice / Omrežja / internet | 5697 (3590) | bibip |
| » | smart folders za xpje?Oddelek: Operacijski sistemi | 2275 (1752) | CaqKa |
| » | indexiranje slik za searchOddelek: Programska oprema | 1935 (1671) | CaqKa |
| » | Microsoft Windows Desktop SearchOddelek: Novice / Operacijski sistemi | 5409 (3144) | kopernik |
| » | Google Desktop Search in PGPOddelek: Novice / Zasebnost | 3749 (3418) | CaqKa |