Google AJAX API over https: veilig?

[PowerFlower]

Ik ben even aan het graven in deze add-on voor de Google Search Appliance: de "cross-lang-ent-search", http://code.google.com/p/cross-lang-ent-search/. Het is een stuk XSL (dat op de Google Appliance uitgespuwd wordt als HTML naar de client browser) met daarin een functie om de zoekopdracht die een user invoert te vertalen, en vervolgens ook de zoekresultaten die de Appliance terugstuurt weer te vertalen.

Dat vertalen gebeurt via de Google API. Wat ik me daarbij afvraag is: hoe secure is de informatie die naar Google verzonden wordt (om te vertalen) en die vervolgens vertaald weer terug komt? De client browser zal immers de tekst over HTTP naar Google sturen, en vervolgens vertaald weer ontvangen en weergeven.

Nu is het zo dat de API ook via HTTPS te gebruiken is, maar dit is dus het punt waar ik niet uit kom: betekent dat ook dat het AJAX verkeer met HTTPS versleuteld is? De enige comments die ik hierover kon vinden hadden betrekking op het feit dat het zo fijn is dat je browser geen foutmelding meer geeft -- voorheen moest je immers een http adres includen op je pagina; als je pagina via https loopt, gaat je browser piepen dat er een unsecure element tussen zit, namelijk de Google javascript; als je die ook via https opvraagt piept je browser niet meer. Maar of het verkeer tussen je browser en Google vervolgens ook via https verloopt is me dus volstrekt onduidelijk

[Verwijderd]

Als je javascript de xmlhttprequest over hhtps uitvoert is hij secured

[PowerFlower]

Zoiets vermoedde ik al, maar ik raakte een beetje het spoor bijster toen ik de code ging lezen: http://www.google.com/jsapi (de Language API). In de code examples worden alleen maar functies aangeroepen...

code:

google.language.translate(text, result.language, "en", document.getElementById("translation"))

...en dat zegt niet zoveel.

De code van de API is uh, niet het meest leesbare stuk code dat ik gezien heb.

[ Voor 10% gewijzigd door PowerFlower op 05-01-2009 23:08 ]

[pedorus]

PowerFlower schreef op maandag 05 januari 2009 @ 23:05:
De code van de API is uh, niet het meest leesbare stuk code dat ik gezien heb.

Maar zoeken op https laat zien dat er waarschijnlijk aan gedacht is Maar kijk anders gewoon even met iets als Firebug of Wireshark.

[PowerFlower]

Gaat niet lukken want ik heb geen GSA om dit op te testen

[PowerFlower]

Hm, in ieder geval lijkt het er op dat mensen die klakkeloos de XSL van Google installeren geen https gaan krijgen:

code:

 <script src="http://www.google.com/jsapi" type="text/javascript"></script>

Btw, mocht iemand zich afvragen waarom dit relevant is:

Een Google Appliance zet je "behind the firewall" neer, om bijv. je fileservers te doorzoeken. Veelal dus alleen intranet, vaak nog met login, soms ook met per file security. Als iedereen er toch bij mag, zou je bijna net zo goed een Google custom search kunnen gebruiken (stuk goedkoper ook).

Voor veel toepassingen zou het dus niet zo grappig zijn als je zorgvuldig opgebouwde beveiliging omzeild wordt doordat de AJAX interface van je users vervolgens vrolijk alle vertrouwelijke data over open http even heen en weer stuurt naar Google voor een vertaling