News Sicherheitslücken finden mit „Google Code“

[Steffen]

Kaum hat Google sein neuestes Produkt Google Code zum Durchsuchen von frei verfügbarem Quelltext zahlreicher Programmiersprachen vorgestellt, hat sich das Suchen von Sicherheitslücken damit als durchaus effektiv erwiesen.

Zur News: Sicherheitslücken finden mit „Google Code“

 

[BessenOlli]

Hmmm... warum hat Google diesen Service?

Soll heissen: Was für Daten kann Google damit sammeln, die sich benutzen bzw. verkaufen lassen?

Ist ja eine berechtigte Frage...

edit

PS: Erster! (Da geht mir einer ab! *fg*)

 

[can320]

Es geht wie immer darum die Weltherrschaft an sich zu reißen!

 

[3n1X]

Jetzt kann man sogar Sicherheitslücken mit Google finden

Dauert bestimmt nicht mehr lange bis die wissen, wo ich meinen Hausschlüssel finden kann

 

[crazydamage]

bald kann ich google fragen wo ich gestern gesoffen hab und wer die braut neben mir is

 

[BessenOlli]

@ 4

In 5 Jahren will Google wissen können, ob z.B. ein Politiker die Wahrheit sagt. Anhand historischer Ereignisse wollen die dann Aussagen auf ihre Plausibilität überprüfen können. Das wird noch "lustig"...

@ 5

Ja, geil!

 

[-oSi-]

Man muss es ja nicht nutzen, aber man kann.


Trotzdem kann man hier auch posten ohne irgendwelchen geistigen Dünnschiss abzugeben.

Bloß schnell hier zumachen, sonst gleitet das hier wieder so ab, wie bei vielen Google-Threads.

 

[Nikolas.W]

ich finde die Idee des services wirklich sehr gut, auf sowas habe ich schon länger gewartet, aber nie irgendwas gutes gefunden. da google das hat, muss es einfach gut werden.

werde es auf jedenfall auch nutzen und würde mich über nen FF-Such-Plugin freuen, damit man nicht immer erst den Link anklicken muss *faul ist*

 

[the_hole]

Also ich tscheggs nich ganz. Was kann man da genau machen und für was ist das gut?

 

[HappyMutant]

Mal abgesehen davon das man es dazu nutzen kann Lücken zu finden, ist es auch sonst ein recht sinnvolles Tool. Denn frei verfügbar sind die durchsuchten Quellcodes eh, und somit für jeden durchsuchbar auch ohne Google. Nur statt mir jeweils den Quellcode zusammenzusuchen kann ich hier viele auf einmal durchsuchen, ganz ohne spezielle Betrachterprogramme. Mag ja sein das es für die meisten nicht sinnvoll ist (und einige Kommentare lassen ja die Ahnung des Autors durchblicken), aber gerade in der OpenSource Szene sicherlich eine willkommene Ergänzung.

Jedenfalls ist das finden von Sicherheitslücken in öffentlichem Quellcode immer möglich, und das es damit einfacher wird, kann man auch als positiven Effekt sehen, wenn sich aktiv um den Code gekümmert wird.

Wenn man Dinge durchsuchbar macht die frei verfügbar sind dann hat das recht wenig mit Überwachung zu tun. Es ist im Gegenteil das primäre Ziel einer Suchmaschine...

 

[wHiTeCaP]

Ihr immer mit euren Datensammel-Panik-Attacken. Habt ihr was zu verbergen? Angst, dass man weiß, dass ihr Fein-Rip-Unterhosen tragt?

Ich find so einen Service sehr geil. Wusste bisher nichts davon. Kann ich aber als totaler Programmiertrottel sicher mal hier und da verwenden *freu*

 

[onlyJR]

Ich warte eigentlich nur noch drauf, das ich mit Google endlich mal die im Trockner verlorenen Socken mal wiederfinden kann.

 

[HappyMutant]

Wobei ich so Aussagen wie: "Habt ihr was zu verbergen?" auch eher wenig konstruktiv finde. Ja ich habe auch etwas zu verbergen, ich will eine Privatsphäre haben, und die ist durch bestimmte Dienste durchaus gefährdet, wobei da viele freiwillig mitmachen, also es nicht als Problem sehen. Daten die frei verfügbar sind, zugänglich zu machen, gerne. Aber meine Daten gehören mir und deswegen gab... äh gibt es den Datenschutz, also immer schön vorsichtig bleiben. Aber genauso wie man mit Skepsis an bestimmte Projekte rangehen sollte, muß man auch wissen wann eine pauschale Verteufelung Unsinn ist.

Aber leider sind vielen scheinbar die gelegentlich durchaus begründeten Bedenken nur ein Scherzchen, oder Halbsatz-Beiträge wert, die man am dann besten bringt wenn es gar nicht zutrifft, oder am eigentlichen Thema komplett vorbei geht (also nicht Google sondern der Dienst selber). Das trifft bisher voll auf 3,4,5,10,13 zu (alle Nummern vor der Reinigung des Threads). Finde ich auch traurig. Das ist eine äußerst fragwürdige Quote Leute.

 

[zatarc]

Man muss es ja nicht nutzen, aber man kann.


Trotzdem kann man hier auch posten ohne irgendwelchen geistigen Dünnschiss abzugeben.

Bloß schnell hier zumachen, sonst gleitet das hier wieder so ab, wie bei vielen Google-Threads.

Es geht hier nicht um den Otto-Normal-User der den Dienst nutzt oder nicht nutzt, sondern um Andere die Google Code benutzen um bekannte Sicherheitslücken auf anderen Websites zu finden. Der Angreifer wird dich wohl kaum vorher fragen ob er deine SQL-DB sprengen darf oder nicht

 

[joern]

Ich warte eigentlich nur noch drauf, das ich mit Google endlich mal die im Trockner verlorenen Socken mal wieder finden kann.

habe deine Socken bei Ebay ihm Angebot gefunden *lol*

jetzt mal ihm ernst ich schließe ich HappyMutant an aber ich sehe es nicht so ernst wie happy mutant was die Witze betrifft aber Privatsphäre bleibt Privatsphäre und das soll so bleiben aber ich denke das es schon lange keine Privatsphäre im netz gibt
mein Wunsch denken von Privatsphäre ist schon lange getrübt …


und ob ich Fein-Ripp-Unterhosen tragt oder nicht geht googel nichts an ...
welche Seiten ich ihm netz ankucke oder auch nichts geht googel auch nichts ahn
meine vorliebe erst recht nicht...


wer rechtschreib fehler findet darf sie behalten

 

[Sascha L]

Was ist nun so schlimm daran?

Goolge Code Search erleichtert es ja nur ein bisschen.

GCS durchsucht öffentliche SVN-Repositorys, CNV und sourceforge, etc. Jeder, der schaden anrichten möchte, kann also auch selbst dort gucken. Somit ist GCS ansich nicht schlecht, da es auch sehr viel positives mit sich bringt, was Programmierern - wie mir - sehr viel hilft.

Außerdem: Wenn jemand seine Haustür offen lässt, muss er sich nicht wundern, wenn ihm was geklaut wird! Also sollten die Leute, die Sicherheitslücken in Ihrem Code haben, diese auch mal umgehend beheben! Gerade wenn es sich um öffentlichen Code handelt ist es traurig, dass dort überhaupt Sicherheitslücken vorkommen, vor allem solch billige wie SQL-Injections!

 

[Zhan]

der punkt ist, dass nicht nur die leute von der "sicherheitslücken-suche" betroffen sind, die den code verzapft haben, sondern eben auch die normalen user, die projekt xyz benutzen. jedes dahergelaufene scriptkiddie bekommt so ein bequemes such-tool für die benötigten informationen an die hand um exploits mal auf anwendung xyz anzupassen. andererseits ist es natürlich korrekt, dass security through obscurity nicht funktioniert und ein ende in schrecken (dastische zunahme an bots, die auf sicherheitslücken kleinerer anwendungen abzielen) vermutlich besser ist, als ein schrecken ohne ende.

ändert aber nichts daran, dass ein herablassendes "dann sollen die anfänger halt die lücken in ihrem code fixen" eben übersieht, dass nicht nur die schuldigen betroffen sind ;-)

 

[Realsmasher]

ich sag mal : goodbye linux.

ne mal im ernst, wenn das ding sowas findet, könnte das schon gefährlich werden, wenn jeder Trottel mal eben das nutzen kann.

 

[Siberian..Husky]

was ist denn das für eine diskussion? wer seinen code für alle lesbar ins internet stellt muss eben damit rechnen das ihn auch jemand durchliest.

wer meint sein programm wäre sicherer wenn nicht jeder nachsehen könnte was passiert, stellt seinen code eben nicht öffentlich aus. das hat mit google absolut garnichts zutun.
ganz abgesehen davon das es schon seit einiger zeit codesuchmaschienen gibt, die jeder benutzen kann.... irgendwie hat das damals niemanden gestört. aber google ist ja auch böse.


EDIT: @BessenOlli
google verdient mit werbung geld. alles was mehr user auf ihre seite lockt ist also für sie interessant. ganz abgesehen davon das eine code suchmaschine sehr gut zu ihrem opensource image past. und was ein gutes image fürs geschäft bedeutet kannst du dir ja bei apple ansehen....

 

[MastaHabi]

Es geht hier nicht um den Otto-Normal-User der den Dienst nutzt oder nicht nutzt, sondern um Andere die Google Code benutzen um bekannte Sicherheitslücken auf anderen Websites zu finden. Der Angreifer wird dich wohl kaum vorher fragen ob er deine SQL-DB sprengen darf oder nicht

der angreifer hat im seltensten fall aber auch den quellcode deiner auf sql-db zugreifenden programme/web-apps/wasweißich