Mange nettleserbrukere har på et eller annet tidspunkt oppdaget at standard søketjenesten i nettleser plutselig har blitt endret, eller at nettleseren har fått en ekstra verktøylinje som brukeren selv ikke kan huske å ha installert.
I mange nyere tilfeller er det søketjenesten Ask.com man risikerer å få prakket på seg. Likevel er det vanligvis brukeren selv i sin travle hverdag som bidratt til installasjonen, ved litt for raskt å klikke på «Neste-knappen» i ellers kjent programvare.
Verktøylinken til Ask.com, eller Ask Jeeves som tjenesten også kalles, følger nemlig med en del programvare som tilbys gratis. Den kanskje mest utbredte av disse er Oracles Java-installasjon for Windows, som allerede er i søkelyset på grunn av dårlig sikkerhet.
Eierselskapet til Ask.com, IAC Search & Media, betaler for andre programvareleverandører for å få distribuert sin egen programvare sammen med programvare som er mer populær. Java er attraktivt i så måte, siden svært mange har dette installert på sin pc og som stadig må laste ned nye oppdateringer.
Under installasjonsprosessen får man et valg om hvorvidt man vil installere Ask-verktøylinjen eller ikke. Valget for installasjon er allerede krysset av, så dersom man bare klikker «Neste/Next», blir verktøylinjen installert.
Men så kommer det sleipe trikset.
Dersom man glemmer å fjerne krysset, men først kommer på det rett etter at Java er installert, så vil man kanskje gå til oversikten over installert programvare, lete opp Ask og avinstallere programvaren. For det er fullt mulig. Men dersom man gjør dette rett etter at Java har blitt installert, så vil man ikke finne oppføringen for Ask-verktøylinjen.
Ifølge Ed Bott i ZDNet så avsluttes ikke installasjonsprogrammet for Ask-verktøylinjen i det Java-installasjonen opplyser at både Java og verktøylinjen er installert. I stedet fortsetter den å kjøre i ti minutter før den installerer verktøylinjen og et oppdateringsprogram til denne.
Bott viser til spionvareeksperten Ben Edelman som opplyser at dette var et utbredt triks på begynnelsen av forrige tiår fra tvilsomme aktører som WhenU, Gator og Claria.
Edelman har også skrevet en grundig analyse om hvordan søkeresultatene til Ask.com stort sett er hentet fra Google, men vist sammen med annonser fra IAC. Men mens annonsene i Googles søkeresultater vises med en annen bakgrunnsfarge, kan det være svært vanskelig å se forskjell på annonser og faktiske søkeresultater hos Ask.com.
Edelman mener at det er flere faktorer ved denne presentasjonen av søkeresultatene som må være et brudd på avtalen IAC nødvendigvis har med Google. Han mener at Google umulig kan være tjent med slik atferd og oppfordrer selskapet til å håndheve reglene strengere. Men Oracle får den kraftigste kritikken.
– Som Oracle vet så altfor godt fra sine nylige sikkerhetsproblemer, har brukere inntrengende behov for programvareoppdateringer for å fjerne alvorlige sårbarheter. Ved å inkludere annonseprogramvare sammen med sikkerhetsoppdateringer, sørger Oracle for at brukerne begynner å mistro sikkerhetsoppdateringer, og dermed unnlate å installere dem, både fra Oracle og andre. Samtidig, ved å gjøre oppdateringsprosessen langsommere og mer forstyrrende, redusere Oracle sannsynligheten for at brukerne oppdaterer sine datamaskiner på en vellykket måte. Oracle burde i stedet gjøre oppdateringsprosessen så rask og enkel som mulig, ved å eliminere unødvendige trinn og ved å vise brukerne at sikkerhetsoppdateringer er raske og problemfrie, skriver Edelman.
Forfatteren av sikkerhetsbloggen KrebsOnSecurity, Brian Krebs, skrev nylig at Oracle sender klare signaler om at selskapet ikke er så opptatt av de flere hundre millioner forbrukerne som benytter Java.
Les også:
- [30.01.2013] Oracle forsvarer «møkkavare»
- [29.01.2013] – Sikkerhetstiltak i Java virker ikke
