Уходим из матрицы: Минимизация кражи данных Google’ом

Думаю, мало кто остался в стороне от последних изменений в плане приватности — точнее, отсутствия оной — у сервисов Google.

Новое лицензионное соглашение я дочитал до строк со смыслом

Вместо слова «воруем» в 5й строке 4й страницы надо читать «воруем, воровали и воровать будем»

и дальше не стал. Да, это очень неправильно — не читать лицензионное соглашение (см. South Park, Season 15, Episode 1), но я не вижу особого смысла в данном конкретном случае.

Ограничение Google Chrome

Самый простой вариант, если ставите безопасность во главу угла — не пользоваться этим небезопасным поделием. Качество кода у Google Chrome очень слабое, уязвимостей множество, функционал в плане технологий безопасности — ниже приемлемого минимума. Плюс, Google умышленно ослабляет надёжность шифрования в своих сервисах и не использует безопасные версии протоколов семейства TLS. Поэтому в корпоративном применении chrome должен быть исключён как класс — при помощи SRP либо других возможностей групповых политик. Плюс, желательно, внесён на уровне документов предприятия в перечень ПО, установка которого равнозначна умышленой компрометации системы безопасности. Люди должны понимать, что установка хрома в рабочей среде — это то же самое, что дать на время отпуска ключи от квартиры первому встречному, у которого «лицо доброе». Никто что-то не раздаёт свои зарплатные кредитки с pin-кодом, а вот ставить специализированный софт для перекачки наружу данных, которые сотруднику доверила для обработки компания, притом с криком «да мне нравится как там вкладочки закруглены» — это легко.

Допустим, он [хром] всё ж Вам нужен по работе. Например, Вы — вебмастер, и тестировать веб-ресурсы под разными браузерами — Ваша задача. Тогда надо ограничить потенциальный вред от Chrome.

Убираем сервис Google Update

Данный сервис умеет оживать после убийства и включаться после остановки. Это прискорбно. Но решаемо просто и несложно — идёте в services.msc, вручную переводите сервис в Disabled, после — идёте в реестр, в раздел HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservices, и на этом разделе забираете права у SYSTEM и у того пользователя, под которым работаете. Тогда Chrome не сможет ни запустить сервис, ни аварийно пересоздать раздел — потому что раздел с таким именем уже есть. Делать take ownership он не умеет, но это пока — мало ли что потом будет, проще сразу убрать техническую возможность обновления.

Далее, идёте в HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionScheduleTaskCacheTree, там находите записи вида GoogleUpdateTaskUserтут сид его будет локальный, удаляете их тоже.

Конечно, без сервиса обновления Chrome вообще становится решетом — и так уязвимостей в нём в разы больше, чем в браузерах, а без обновлений вообще мрак. Но мы ж договорились, что Вам — чисто для тестирования сайтов. Тогда ок, тогда подойдёт.

Выводим из-под чуткого глаза гугла свои личные документы

Под каким пользователем бы Вы не работали, все равно запущенные в Вашем сеансе приложения могут, допустим, индексировать папку Мои Документы (которую chrome, говорят, при установке переименовывает в «Наши с тобой, дурачок, документы»). Если Вы хотите дожить до момента, чтобы Вам показывали рекламу курсов для школьников, потому что в «Мои Изображения» лежит ваша фотка в школьной форме — дальше читать не надо. Но вообще, действия для вывода личных данных из-под удара выглядят так:

  1. Создаётся новая учётная запись с правами обычного пользователя (у меня для этого запись с именем hitler, чтобы визуально в task manager было понятно, что это google’овский сервис)
  2. Этой учётной записи даются права на папку вида %LOCALAPPDATA%Google в вашем профиле. Т.е. ещё раз — Вы работаете под одной учётной записью, создаёте ещё одну, этой, новосозданной, даёте права на данный каталог.
  3. Вы запускаете Chrome в своём сеансе, но из-под той учётки. Тогда он никак не может получить доступ к вашим личным данным и тусуется в пустом профиле с характерным названием.

Неудобно? Ну, ребята, так это сервисы гугла — если Вы ещё не купили наколенники и налокотники, то будут натёртости — Вы сами на это согласились на одной из страниц пользовательского соглашения.

Веб-сервисы Google

Тут сложно. Их много, и практически каждый впрок тырит всё, что только можно. Будем стремиться хотя бы минимизировать негативный результат.

История поиска

Зайдите по ссылке https://www.google.com/history/ и почистите всю свою историю, а также поставьте на паузу «Историю веб-поиска». Тонкость в том, что у гугла «История веб-поиска» и «История поисковых запросов» — разное, и второе пишется всегда. Да и стираете Вы лишь для того, чтобы он Вам не давал целевую рекламу, хранить он все равно всё уже будет всегда. Это право неотзываемо, такая вот корпорация добра. Зато гугл для СПО-коммунити даёт всякие объедки, за что дети её очень любят. Как барин — сводил крестьянку молодую в сени, выебал от скуки, а мальчонке ейному малому подарил петушка сахарного на палочке. Мальчонка петушка обглодал, и звонко кричит — мамка, а ведь хороший у нас барин! Хороший, хороший — говорит крестьянка, украдкой вытирая глаза рукавом. Гугл и СПО-коммунити в чистом виде.

Google+

Сеть откровенно не удалась — в ней все зарегились для галочки и стали ждать, когда туда набежит контент. Контент не набежал. Зато время от времени приходят незнакомые люди с 270 тысячами друзей и френдят. От таких новостей молниеносно выпадаешь в осадок. Оптимальная рекомендация — разрегистрироваться в этой сети, тем более, что в гораздо более многочисленном фейсбуке есть все те, кто есть в G+, т.к. G+ откровенно вторична.

Перед удалением профиля удалите всех из всех кругов, а также все опубликованные ресурсы, до которых дотянетесь. Не получится удалить то Ваше, что репостил кто-то другой. Но хотя бы то, что получится, удалите, т.к. информация «кто был в кругах на момент удаления» подпадает под правила гугла о переработке и передаче информации третьим лицам. Поэтому если удалитесь, не чистя круги — останутся неудаляемые связи, которые, как и всё в Google, будут обязательно использованы против Вас.

GMail

Наплевательское отношение к личным данным уже блестяще обыграно:

http://www.youtube.com/watch?v=TDbrX5U75dk

— Hey, mailman, are you looking at our mail?
— No, no, hehehe. I’m looking at everyone’s mail!

Переносите почту с google куда угодно, лучше всего — делайте свой почтовый домен и паркуйте его у выбранного провайдера облачной почты (конкретные названия не пишу, так как мне никто не оплатил рекламу, но таковых — провайдеров — много). После переноса — чистите контакты, удаляйте почту, чистите архив. Подготавливайте учётку к состоянию «для приёма разовых писем, которые потом форвардятся на правильную почту, а если кто-то случайно получит доступ — ничего не узнает». После — разово делайте крайне стойкий пароль, форвардинг всех писем на свою личную почту, использование только https.

Дополнительно

Используйте разные учётки для разных сервисов гугла — например, gmail и youtube.

Не указывайте свои личные данные в сервисах, которым это не нужно в явном виде. Если Вы регитесь на ютубе, чтобы сохранялась выборка «избранного видео», не имеет смысла использовать своё ФИО и свой почтовый ящик. Если у Вас свой домен, то можно зарегить youtube_viewer@ваш домен и сделать его alias’ом для нормального почтового ящика, а назваться в сервисе вообще хоть Дэвидом Боуи. Это не даст возможности гуглу сделать автоматическую «склейку» учёток — когда все параметры разные (особенно почта), он «слепнет». Если Вас пугает пункт в соглашении «не заводите дополнительных учёток для одного пользователя, это нечестно, мы вас уууу!», забейте. Никто Вас за неприличное поведение из публичного дома не выгонит.

Добавьте сайты google в IE в категорию «Ограниченные узлы».

Я специально не пишу жесткие меры типа «выпилите нафиг все сети Google’а на брандмауэре», так как речь о минимизации кражи данных, а не о полном отказе от сервисов Google. Хотя, в свете нововведений в политике гугла, сращивание этих двух понятий — вполне близкая перспектива.

Будьте осторожны.

Реклама
Уходим из матрицы: Минимизация кражи данных Google’ом

Уходим из матрицы: Минимизация кражи данных Google’ом: 66 комментариев

  1. Т.к. 1 марта вступают в действие новые правила пользования сервисами Google логично удалить историю своих поисковых запросов. После 1 марта ваша поисковая история может быть использованы во всех сервисах Google.

    Сделать это можно здесь: https://www.google.com/history/edit

    Пользователи IE9 могут достаточно просто заблокировать слежение за собой:
    http://blogs.msdn.com/b/ie/archive/2012/02/20/google-bypassing-user-privacy-settings.aspx
    прочтите, там много интересного

    Cписок хостов для интересующихся:
    http://ie.microsoft.com/testdrive/browser/p3p/google.txt

      1. 1) Don’t put personally identifying information in your search terms (easy) — неужели есть такие балбесы, которые регятся на поисковых машинах?
        2) Don’t use your ISP’s search engine (easy) — у моего прова её и нет
        3) Don’t login to your search engine or related tools (intermediate) — то же, что и 1)
        4. Block «cookies» from your search engine (intermediate) — IE 9/10 в InPrivate (порнорежим) рулит!
        5. Vary your IP address (intermediate) — только что белый статический IP заказал, как раз для того, чтобы можно было VPNки друг другу кидать. Большой брат пока что сосёт у AES256.
        6. Use web proxies and anonymizing software like Tor (advanced) — Ага! Ща, ща все побежали пользоваться мусорской сетью «ТОР»!!!

        1. Svart Testare:

          В пункте 1 видимо имелось в виду не задавать поисковых вопросов, включающих свою персональную инфу вроде имени, адреса, телефона и так далее.

  2. […] http://blog.karmanov.org/2012/02/03/minimize-google-thievery/ Like this:НравитсяБудьте первым, кому понравился этот . Запись опубликована в рубрике Без рубрики. Добавьте в закладки постоянную ссылку. ← С Наступающим Новым Годом ! […]

    1. Им понравился механизм обновлений по уровню закрепления в системе граничащий с трояном. Я тут провёл ряд экспериментов, Google Update может в некоторых случаях не удаляться даже, если вы произвели удаление штатными средствами (хотя указано, что он удалится, самостоятельно, если в системе нет ПО в нём нуждающегося, дык это враки). Больше всего меня бесит, что оно даже не спрашивает при установке нужен ли мне этот механизм обновлений, так же оказалось есть два вида Google Update (итого может быть 3 сервиса Google Update в системе, 6+ тасков шедулера, ключики в автозапуске). Вчера полностью всё удалил, забодало, для тестов оставил Comodo Dragon.

      1. После удаления я чуть не полысел пытаясь честно заполнить анкету отражающую причины.

    1. Думаю, что картинки с котиками постить можно, девушкам в приват писать разное тоже, а серьёзнее — увольте.

  3. Паранойя насчет приватности данных «в руках» компании, получающей 96% своей прибыли на контекстной рекламе — это еще куда ни шло. Но вот рассказывать про то, что Хром менее безопасен, чем остальные — это откровенная чушь. Есть только два более-менее безопасных браузера: IE8+ и Chome. Остальное — говно, не митигейтящее потенциальные уязвимости вообще никак.

    Сафари? Дык там тот же самый вебкит, но с традиционным эппловским подходом к безопасности: «Рабам не нужна бизапастнасть».

    Фуррифокс — сраные каргокультисты. «Ой, в ИЕ и Хроме отдельные процессики для табов (групп табов) — а давайте и мы такое сделаем». Идиоты, блеать — хоть бы IL понижали, не говоря уже об использовании ограниченных джобов и углубленного рестрикта токенов.

    Опера? Эти вообще только ныть умеют про то как их все обижают (а эмблема символизирует гоатсе).

    Все — все остальные либо перепакованный вебкит/гекко (с качеством еще хуже, чем у сафари/говнофокса), либо хостящие трайдент (с митигейтами джита, кучи и пр., но без «запесочивания» хоста).

    Собственно, если нужна безопасность и приватность данных — IE. Если достаточно одной безопасности — Хром.

    1. В IE10 сделали как было — 1 процесс на окно (а не на группу табов, как в 9). В целях снижения накладных расходов, естественно. Еще в IE10 теперь 64bit по-умолчанию.
      Вообще, пора бы уже отказаться от модели «HTML+JS». Javascript — ужасный язык, да еще и тормозной вдобавок (тред из фейсбука с 1000 постов еле дышит). Хочется, чтобы страницы шли в сжатом XML, а «скрипты» — чисто байткодом, но это мечты…

      1. Увы, w3c решил, что веб и дальше должен продолжаться в виде очередных костылей к созданному 20 лет назад HTML. И майкрософт, увы, с таким положением дел согласилась, и даже дала свет связке HTML+CSS+JS как одной из основных технологий разработки для Windows 8.

        1. Armanx64:

          Мы обязательно дождёмся CLR и XAML в браузере.

      2. Насколько я знаю, они этого не делали. Процесс — это security boundary и смешивать за одним периметром (в одном процессе) несколько кусков кода с разной степенью доверия — крайне неверно.

        JavaScript — язык довольно изящный, но таки да, он совершенно не предназначен для вещей, которые с ним сейчас вытворяют. Ну и да, «веб-технологии» устрели и развиваются накручиванием новых слоев изоленты.

        1. По крайней мере, в метро-ИЕ10 нет левого кода в принципе (плагины ведь отменили как класс). В десктопном ИЕ — действительно, несколько процессов (но не по 1 на вкладку, а меньше — примерно как в девятом). Цель всех этих движений-уменьшить потребление памяти при работе в плашнетном режиме. Метро-ИЕ действительно очень экономно расходует память.

    2. > Но вот рассказывать про то, что Хром менее безопасен, чем остальные – это откровенная чушь.

      В этом блоге есть детальный разбор, допустим, проблем безопасности хрома в криптографическом аспекте. Откровенная чушь — это приравнивать теоретическую безопасность одного компонента — движка (вебкита) — к практической безопасности используещего его ПО. Логика вида «ну это же на цисках, поэтому охуеть быстро должно работать» тут не очень приветствуется. 🙂

      1. wise walrus:

        Но есть же песочница, изоляция плагинов, эти фишки никуда не делись. FF и Opera в этом плане надолго отстали.
        Если не Хром, действительно остается только IE?

      2. > теоретическую безопасность одного компонента – движка (вебкита)
        Нененененене. Вебкит — дырявое говно. В нем постоянно находят больше уязвимостей, чем в гекко (не говоря уже трайденте). Фишка в том, что большинство из уязвимостей замитигейчено и совершенно неэкслоитабельно. Вот ты же сам недавно писал про EMET и должен понимать что баги он не фиксит, но эксплуатацию КЛАССОВ уязвимостей делает либо вообще невозможными либо переводит из RCE/EoP в DoS.

        Вот так же и с браузерами — у хрома песочница гораздо более параноидальная, чем в IE (за исключением флеша, лол, у которого песочничы практически одинаковы), но при этом количество уязвимостей на порядки больше. Фишка в том, что все остальные ГОРАЗДО хуже.

      1. Дада, IE8. Но вообще я крайне заинтересован в Вашей икспертном сравнении безопасности IE8 и Waterfox 64

        1. darkhead:

          Куда мне до икспертов с двача, я всего лишь простая фоксоэлита. Я могу лишь сказать, что это как сравнивать Кайен и жигули. На чем безопаснее и быстрее ездить, я думаю, пояснять не надо.

  4. > Я не уверен, что оно без службы не умеет обвновляться, если говорим только о хроме, установленном в %AppData%.

    Умеет. И службу из Disabled включать умеет. Если зайти к хрому в About и обновить — он это точно умеет делать. Отнять права на уровне ACL — надежнее, чем считать, что он вроде умеет, что типа нет. Точно.

    >> Подписи цифровой нет
    > Есть, у меня все компоненты от Google её имеют, а так же имеют соответсвующие дескрипшины.

    Чтобы в обсуждаемом контексте «зарубить через SRP/AppLocker» это было применимо, надо будет сделать правило, что «все подписанные подписью такого-то издателя не могут стартовать». Для этого надо certificate rules глобально на системе enforce’ить, быть уверенным что именно этим сертификатом подписаны все компоненты, и что все они подписаны. Т.е. если будет *.exe, который не подписан, или подписан новой подписью гугла (они ж со временем меняются, сертификаты издателей), то это правило надо будет менять. Много геморроя, малое КПД.

    >> Пути, откуда запуск ведётся, изначально неверные (т.е. гугл юзает /AppData некорректно, он там не data, а application свой хранит, чтобы обходить «неудобный» для пользователя UAC), и могут меняться.

    > Это зависит от варианта установки, у меня оно в %ProgramFiles% всё лежит, а в %AppData% только данные приложения, исполняемых файлов нет, за исключением плагинов.

    Речь про установку от прав «обычного пользователя», которую гугл пиарит как своё технологическое достижение — мол, сделали круто, обошли защиту глупого Microsoft, а по сути — применили фиговый хак, побочек у которого — выше крыши.

    > Не, не замучаюсь, но вот про, то что этого нет у многих, это да, правда ваша, я избалован Enterprise редакциями и не уловил контекст в котором описан ваш способ блокировки.

    Enterprise редок даже на предприятиях, prof ощутимо чаще попадается. А то, что домой тырят по русской традиции «только Ultimate, только хардкор» — дык, это да, но поставляются-то компы обычно с Home Basic/Premium, там нет этого.

    > С другой стороны не уверен, чем лучше DACL в реесре, чем в NTFS на соответсвующие файлы.

    Файлы и каталоги могут меняться, логические диски тоже, можно ставить в разные каталоги, будучи админом. Сервис предсказуемее.

    > у меня к этому механизму есть доверие, у вас нет, ну и ладно

    У меня очень большое доверие к групповой политике, как к механизму, но Вы откройте adm-файл и посмотрите, что он по сути меняет и где. Удивитесь. 🙂

    1. Руслан, ну сколько можно:
      1. Если Хром ставить под правами пользователя (типовой сценарий web install через браузер запущенный с пользовательсикми правами) Google Update ставится в %AppData%, службы Google Update не создаются, специально проверил щас, в виртуалку поставил. Создаются только таски в шедулере (пользовательские). Создать службу нет возможности у данного вида инсталляции.
      Пересоздать таски хром может всегда! Следовательно обновляться в таком варианте оно тоже может всегда.
      В этом случае помогут именно политики, ставите шаблон, настраиваете политику и заходите в меню о программе хрома и читаете, что обновления отключены!
      Блокировку через ACL, запрещающие запуск файлов на NTFS, я не проверял, оставляю вам как стороннику этого метода для проверки.
      Служб в этом случае просто нет!
      Для параноиков указать в качестве прокси-сервера 127.0.0.1 и тогда оно не сможет вообще в тырнет ходить.
      Таски в шедулере после удаления и при отключении обновлений через политики не создаются, проверил так: 10 раз запустил с обычными правами и столько же под админом, посерфил в обоих режимах немного, не появились (без политик отключающих обновление не проверял в этом режиме, но в режиме пункта 3, таски всё равно не появлялись, даже, когда политики разрешали обновление).
      По всей видимости, если политикой не отключать, то при ручном обновлении таски снова будут созданы или когда хром сам полезет за обновками, возможно, они появятся при следующем применённом к системе обновлении (нет у меня времени всё это детально проверять, политику взвёл и всё ок).
      2. Следующий сценарий offline standalone install (скачивается полноценный exe файл, интернет не требуется для полной установки), он бывает для одного пользователя (ставится так же в %AppData%), я не проверял, но для него вообще всё должно быть как и для случая 1. Так же есть offline standalone install для установки хрома сразу для нескольких юзеров, когда браузер ставится в %ProgramFiles% (вроде, можно, выбрать иную директорию, не помню) и Хром будет доступен всем пользователям. В этом случае Google Update запускается как сервис (две шутки, один из них в ручном запуске, второй в отложенном автозапуске, если система позволяет), а так же системные таски в планировщике задач (две штуки), думаю, что они (системные) реанимируют службы Google Update, если они отключены (не проверял, возможно, они появятся при следующем применённом к системе обновлении).
      3. Следующий сценарий offline install standalone enterprise (из msi-ки), тут аналогично 2.1.

      Посему описанный вами вариант блокировки служб Google Update незнамо для чего.
      У тех, у кого мешанина в тасках (есть как пользовательские, так и системные и их много), а так же присутствуют службы (я видел на некоторых машинах аж 3 штуки) — это отголоски либо кривых инсталляторов от гугла, либо установка разных версий браузера, описанных выше или иных приложений типа Google Earth, которые раньше ставились через Google Install (вроде, он больше не поддерживается).

      Соглашусь, что ПО, которое навязывает плохо документированную систему обновлений и не до конца описанными возможностями и поведением не место в корпоративном секторе, с другой стороны при использовании политик всё становиться вполне управляемым. Пожалуйста, отключайте через политики автоматическое обновление в Google Update (они вообще насколько понял сами по себе в тырнет не лазят их либо таски, либо приложения дёргают, когда им нужно), и распространяйте msi пакет как вам угодно, само оно ничего не поставит (если закрыто политиками и верить гуглу) и в Интернет не полезет.

      В твоём же случае поведение не определено, насколько я понял, клал хром на твои запрещающие ACLи на уровне веток в реестре, где службы Google Update описаны. Он стартует апдейтер сам и ещё какой то брокер, если зайти в диалог о программе хрома, не канает твой метод. Кто его знает, полезет ли хром сам за обновленьями при простом запуске. Может вообще таски восстановит через какое-то время. Я не знаю, поэтому для меня применить политику лучшее решение.
      Исходя из выше сказанного я не считаю предложенный тобой способ красивым вариантом и до конца работоспособным (т.е. решающим задачу).
      Так же ответьте, что проще политику сделать через шаблон в 5 кликов мышкой или запрещающий список доступа в реестре на системной ветке для служб (что, по сути, является плохой практикой, не стоит так обращаться с системными ветками реестра)?

      P.S. На «ты» то можно, я просто не в курсе как у вас тут заведено?
      P.P.S. Несколько сумбурно написал, но некогда вычитывать, т.к. и так 40 минут на эксперименты угрохал, поставь так, поставь сяк, проверь. Надо бы кого-нить запарить всё это исследовать.

      1. > 1. Если Хром ставить под правами пользователя (типовой сценарий web install через браузер запущенный с пользовательсикми правами) Google Update ставится в %AppData%, службы Google Update не создаются, специально проверил щас, в виртуалку поставил. Создаются только таски в шедулере (пользовательские). Создать службу нет возможности у данного вида инсталляции.

        Как связана констатация факта «не все юзеры обладают правами на создание nt-сервиса» с тем, что конкретное ПО этот сервис может создавать, а предлагаемая мера это успешно предотвращает без оглядки на специфику «под какими правами юзер сидит»?
        И при чём тут таски? Если сервиса не будет, они, в общем-то, безопасны. 🙂

        > Пересоздать таски хром может всегда! Следовательно обновляться в таком варианте оно тоже может всегда

        Правильно ли я понимаю, что возможность создавать task равняется возможности обновляться в _любом_ случае, даже при убитом сервисе? Это, пардон, как? 🙂

        > Для параноиков указать в качестве прокси-сервера 127.0.0.1 и тогда оно не сможет вообще в тырнет ходить.

        Да ну?

        > Посему описанный вами вариант блокировки служб Google Update незнамо для чего.

        Напишите проще — Вы лично не понимаете сценарии применения указанных мер, также не очень уверенно себя чувствуете в системе безопаности NT. Лично Вам — незнамо для чего. Такое бывает и это не страшно.

        > В твоём же случае поведение не определено, насколько я понял, клал хром на твои запрещающие ACLи на уровне веток в реестре, где службы Google Update описаны

        Экспериментальным путём проверяется обратное — не клал. Создать сервис он не может в указанной ситуации, даже если работает с сидом builtin\administrators в токене.

        > Так же ответьте, что проще политику сделать через шаблон в 5 кликов мышкой или запрещающий список доступа в реестре на системной ветке для служб (что, по сути, является плохой практикой, не стоит так обращаться с системными ветками реестра)?

        1. Указанный мной эффект _гарантированного_ запрета политика не решает, поэтому сравнение некорректно.
        2. Меряться кликами мышки для разовой операции — действительно плохая практика.
        3. Раздавать права на ветках реестра — стандартная фича групповых политик since 1999 год. Откуда дровишки про «не стоит так обращаться с системными ветками реестра»?

        [стандартный блок про матчасть]
        [стандартная реклама курсов по Windows Server 2008 R2]
        [стандартный вопрос про ориентацию и возраст, интересуюсь для статистики]

        1. На «вы», так на «вы».

          Порадовала ваша оценка моих знаний, я думал всё гораздо хуже, спасибо.

          1. Да, хром умеет обновляться автоматически без служб GU в некоторых случаях (службы это те, что вы всё заблокировать от запуска пытаетесь) в данном случае через таски шедулера, те, которые под юзером работают (в имени которых SID есть). Таски запускают тот же GoogleUpdate.exe, только с другими ключиками. Как вы думаете, хром у всех обновляется? Web install самый распространённый способ установки (это когда всё в %AppData% ставится, в том числе и Google Update). Кстати, в этом случае Google Update ещё и в ключик Run в реестре в HKCU прописывается.

          2. Да, блокировка службы от запуска, описанным вами методом не предотвращает обновление. Я не пойму, думаете, я пустословием занимаюсь? Возьмите чистую виртуалку, поставьте туда standalone offline install, который для нескольких пользователей, или enterprise install и проверьте.

          2.1. Я допускаю, что не понял ваш способ блокировки. При всём уважении деталями в вашей фразе «и на этом разделе забираете права у SYSTEM и у того пользователя, под которым работаете» вы нас не балуете. На каком разделе, прямо на ветке services или на ветке конкретной службы? Дайте, деталей, на моём уровне напишите, что это означает, вы же его уже определили.

          2.2. Ещё я допускаю, что у вас иная версия Google Update, которая действительно вашим методом успешно задавливается (так как вы говорите о службе Google Update в единственном числе, вам уже тут приводили примеры, что их бывает и две, а иногда и три, в зависимости от продуктов, которые вы установили), но вот свежая версия — нет, спокойно запускает процессы GoogleUpdate.exe и GoogleUpdateBroker.exe (не как службы, а просто запускает процессы) и обновляется, правда админских прав просит при блокировке запуска служб.

          3. Да, политика отключает обновление. И будет его отключать. В противном случае об этом станет известно и Google получит гораздо больше негатива, чем сейчас из-за внедрения единого соглашения с пользователем их сервисов и продуктов, которое многих возмутило.
          Ваше решение проверено и не работает (как минимум для варианта установки web install, который рассчитан на массового пользователя), моё работает сейчас и если поведение не изменится, то будет работать и дальше.

          4. Про прокси для Google Update через политики: проверено опытным путём, идёт через него, если не может, то мимо прокси не пытается подключаться. В чём ирония?

          P.S. На курсы я к вам записался, правда классом повыше, и как преподавателя/тренера и человека, подтвердившего свои знания вас уважаю, искусство вести спор не о чём за вами я уже заметил, надеюсь, найдете в себе силы признаться в том, что тоже можете заблуждаться.
          P.P.S. Для вашей статистики, лет мне 32, ориентация, это вы о чём? 😉

      2. Вы тут развели абсолютно ненужные усложнения. С помощью белого списка SRP можно элементарно обеспечить непопадание хрома на компьютер, и всё тут. Кому это действительно нужно, пусть тестирует свои сайты в пустой виртуальной машине, там красть нечего. А попытки разобраться в сортах дерьма просто не нужны. Делайте белый список — благо, процедура элементарная, пара кликов всего.

        1. Кстати, тем кому просто тестировать нежно в Хроме что-то, есть же Comodo Dragon, он не содержит навязчивого апдейтера от гугла, держит свои данные в %AppData%, а тело в %ProgramFiles%.
          Хотя чисто теоретически может что-то сливать в Гугл. 😉

  5. Svart Testare:

    Вот ещё что заметил: добавление сайта google.com (ну или его локальных аналогов типа google.com.ua) делает их во многом неюзабельными. В частности, в поиске картинок не работает просмотр картинки по клику — открывается совершенно пустое окно.
    Пока я ограничил сайты Google, добавив их в список исключений в Privacy → Sites. Кроме того, можно не ограничивать сайты Google, а просто заходить на них с использованием защиты от отслеживания и фильтрации ActiveX.

    1. Добавлять в ограниченные узлы это перебор, там даже JS не пашет тогда и пользоваться ими практически невозможно, ИМХО, достаточно использовать механизмы InPrivate.

  6. Svart Testare:

    Кстати, у Google Updater обнаружил аж 2 версии:
    1. Google Update Service (gupdate) — изначально Automatic (Delayed Start)
    2. Google Update Service (gupdatem) — изначально Manual
    Оба были установлены вместе с Google Earth.

  7. Зачем такой «варварский» способ для отключения GU? Есть соответсвующие политики для этого _http://support.google.com/installer/bin/answer.py?hl=ru&answer=146164
    Можно запретить как установку обновлений, так и их проверку, а так же установку практически всех приложений (в т.ч. приложений прилипал типа Google Toolbar).

    P.S. Дубль, т.к. первое сообщение зависло на проверку, но я точно читал, что на это блоге не включена модерация и это какой то глюк.

    1. Это не варварский, а надёжный способ. Политики, которые для этого есть, зависят от кучи причин, есть не во всех версиях хрома и имеют много специфик применения. Разделение на уровне NT DACL гораздо предсказуемее и надёжнее. Гугл легко может через апдейты раздать новую версию, у которой будет другая обработка политик, и заодно новая EULA, в production такие приколы совершенно нежелательны.

      Первое сообщение всегда зависает, тем более со ссылкой. Следующие должны ок проходить, если там опять же не более 5 ссылок, кажется.

      1. Ruslan V. Karmanov :
        Это не варварский, а надёжный способ. Политики, которые для этого есть, зависят от кучи причин, есть не во всех версиях хрома и имеют много специфик применения. Разделение на уровне NT DACL гораздо предсказуемее и надёжнее. Гугл легко может через апдейты раздать новую версию, у которой будет другая обработка политик, и заодно новая EULA, в production такие приколы совершенно нежелательны.
        Первое сообщение всегда зависает, тем более со ссылкой. Следующие должны ок проходить, если там опять же не более 5 ссылок, кажется.

        Гм, тут спорно, во-первых, при чём тут хром? Эти политики для Google Update/Intaller. Во-вторых, они заявлены как enterprise-ready и лично я им доверяю, ну, да ладно, я вообще доверчивый.
        Если нет доверия к политикам от Google, то запуск служб можно запретить (у меня вот 3 штуки их торчит почему-то, надо будет разобраться, раньше две было) через политики безопасности, где есть прямое управление поведением служб или вообще для надёжности запретить запуск соответствующих приложений через политики управления приложениями/политики ограниченного использования программ.
        Поэтому, для меня DACL на системной ветке в реестре в целом «варварство», сделали бы тогда шаблон безопасности что-ли. 😉

        P.S. Первое сообщение, это какое?

        1. > при чём тут хром? Эти политики для Google Update/Intaller

          Хром в качестве своего обновления может притащить обновление любого компонента от Google, в том числе — апдейтера. Невозможность же запуска службы на уровне системных прав не подвержена потенциальному воздействию этого механизма.

          > или вообще для надёжности запретить запуск соответствующих приложений через политики управления приложениями/политики ограниченного использования программ

          Там:

          1. Хэш меняется после каждого обновления
          2. Подписи цифровой нет
          3. Пути, откуда запуск ведётся, изначально неверные (т.е. гугл юзает /AppData некорректно, он там не data, а application свой хранит, чтобы обходить «неудобный» для пользователя UAC), и могут меняться.

          Вы такое замучаетесь SRP/апплокером ловить. Тем более, речь про обычный домашний комп, где редактор реестра всегда есть, а вот апплокер — крайне редко.

          P.S. Первое — это которое без «P.S. Дубль…». Они все ж в спам падают сразу, пока первое вручную не approve.

          1. >Хром в качестве своего обновления может притащить обновление любого компонента от Google, в том числе – апдейтера. Невозможность же запуска службы на уровне системных прав не подвержена потенциальному воздействию этого механизма.
            Я не уверен, что оно без службы не умеет обвновляться, если говорим только о хроме, установленном в %AppData%.
            Надо будет покопать как оно всё там работает. Насколько помню, раньше только таски в шедулере создавались, службы не было.

            >2. Подписи цифровой нет
            Есть, у меня все компоненты от Google её имеют, а так же имеют соответсвующие дескрипшины.

            >3. Пути, откуда запуск ведётся, изначально неверные (т.е. гугл юзает /AppData некорректно, он там не data, а application свой хранит, чтобы обходить «неудобный» для пользователя UAC), и могут меняться.
            Это зависит от варианта установки, у меня оно в %ProgramFiles% всё лежит, а в %AppData% только данные приложения, исполняемых файлов нет, за исключением плагинов.
            GU обновляет приложения именно %ProgramFiles%.

            >Вы такое замучаетесь SRP/апплокером ловить. Тем более, речь про обычный домашний комп, где редактор реестра всегда есть, а вот апплокер – крайне редко.
            Не, не замучаюсь, но вот про, то что этого нет у многих, это да, правда ваша, я избалован Enterprise редакциями и не уловил контекст в котором описан ваш способ блокировки. С другой стороны не уверен, чем лучше DACL в реесре, чем в NTFS на соответсвующие файлы.

            Вообще спор не о чём, я уже понял вашу логику.
            Я просто предложил альтернативу официально предлагаемую Google: «Опытные пользователи, которым необходимо применить правила Google Update только к одному компьютеру, могут сделать это, загрузив административный шаблон в редактор групповой политики», у меня к этому механизму есть доверие, у вас нет, ну и ладно.

  8. Руслан, а можете как-нибудь написать про веб? Просто, на мой взгляд. это та ниша, в которой наибольшее количество мифов и предрассудков насчёт windows server и iis. Вижу как многие проекты потом рассказывают о своих злоключениях с линукс-серверами, как они меняли и допиливали линукскостыли при очередном наплыве посетителей их ресурсов, как один за одним меняли модные линукс-технологии для масштабирования вроде MongoDB, node.js, Cassandra, Hadoop, и ничего не помогало или приходилось дописывать эти продукты вручную. И большинство почему-то продолжают грызть этот несчастный кактус, считая LAMP (разве что в последнее время модно ставить вместо апача сервер nginx и использовать руби и питон вместо PHP) чуть ли не синонимом термина «веб-сервер».

    1. Наверное, просто время, время, время. Когда копипастишь новость и к ней три строчки от себя — это одно, когда надо вдумчиво исследовать — другое совсем. Сейчас по работе завал, куча заказов, новые курсы, расширение — не до «чисто для себя постинг запилить». А так бы — да, с удовольствием.

  9. Осталось ещё добавить, что на виндовой машине, где делается серьёзный бизнес, не должно быть не только гуглософта, но и эпплософта.

      1. Кроме виндософта ничего не должно быть. И не «может», а точно 😉

        1. Там не должно быть электропитания. Тогда серьёзный бизнес будет удовлетворён уровнем безопасности. Нефть-то по трубам и без фейсбука будет течь.

  10. Мда, наметилась тенденция — люди почувствовали надвигающуюся угрозу тоталитаризма. Сам сегодня настроил RDP over TLS + FIPS140. Кайф полный — выдалась одна свободная минутка в час — раз, и одной ногой дома.
    Руслан, вы не в курсе про RemoteFX, как оно дружит с OpenGL-играми/приложениями? Текстуры то теряются вообще, то идут в низком качестве. Видео (720/1080р) при этом идёт без проблем. Канал 2 мбит.

    1. С OpenGL вообще не пробовал. Но прожорливый он, RemoteFX. С моей точки зрения у него гораздо важнее мелкая, редко упоминаемая фича — блочный проброс USB. Это вот да, очень полезная штука.

  11. Да можно было не мучаться настройками, ключ Services блокировать — чревато боком. Кому действительно нужно, пусть ставит свой хром в пустую виртуальную машину и тестирует сайты до посинения. Остальным дайте ссылку на расово верный SRP.

    1. Так не ключ же Services, а личный ключ сервиса google update внутри оного. Если на весь ключ Services отнять права, система сдохнет. 🙂

      1. Я вот всё понять не могу, неужели они все НАСТОЯЩИЕ? Ну, то есть, что ни опенсосный персонаж — так форменная карикатура, гротеск. Нарочно не придумаешь.

      2. Помню, была ещё какая-то педерача с опенсосным деятелем, который навзрыд умолял кого-то «не трогать пингвинчиков» (дословно). Это не тот же самый мальчик-дебил?

        1. Да, это паша фролов. Про него отдельно будет — тут его подруга софья винниченко устроила истерику в IT Pro Community в фейсбуке — про то, что линукс везде люто побеждает, а все вообще лохи. Вообще все — под раздачу попали сотрудники Oracle, VMWare, вообще просто сисадмины и прочие. Все они были объявлены врагами, ну а я — гитлером. Потому что «оглашаю факт гомосексуальных наклонностей павла, а я ведь его в эту компанию привела, он был мальчиком знакомых, я его с 16 лет знавала, никуда не мог на работу пристроиться». Короче, это отдельная тема. И да, упоминаемое в контексте «ыыыы, плахой билл гейстс рвёт пингвинчиков, инфа 100%» — это как раз оно.

  12. Svart Testare:

    Наконец-то, долгожданная статья — всё коротко и ясно! Сам софт от Google на компе не держу вообще, сервисами не пользуюсь, от поиска даже постепенно ухожу в Bing, а вот знакомым пригодится.
    P.S: Есть такой музколлектив — Thievery Corporation. Теперь я знаю, в честь кого название 🙂

    1. Armanx64:

      Если с бингом в плане поиска сложно — есть ещё duckduckgo, на нём же базирующийся, но с фишками.

    2. Пользоваться бингом = вообще отказаться от поиска. Он даже по сайту Microsoft ищет через жопу. Вот набери, к примеру, «Скачать exchange 2010» — он блог Макса Зинченко выведет первым, что как бы _очень_тонкий_вброс_ :))))) . Я лучше яндексом, он явно качественнее бинга функционирует.

          1. Svart Testare:

            У меня регион США в Bing выставлен, а у тебя Россия, наверное.

      1. исопльзовать Bing имеет смысл только для поиска англоязычных вещей, для рунета я исопльзую Яндекс. Руслан, введи «exchange 2010 download» в бинге и наслаждайся 🙂 там даже интеграция с Facebook есть и работает.

        Еще надо учесть, что американский бинг включается особым переключателем локали и по умолчанию может стоять Россия.

        1. Svart Testare:

          У меня и по-русски хорошо ищет — см. выше.

Обсуждение закрыто.