Microsoft: védelem a preparált Office-dokumentumokra alapozott támadások ellen
A Microsoft hamarosan egy olyan eszközt bocsát a vállalatok részére, amelynek segítségével az Office 2003 alkalmazásai az Office 2007-hez hasonló védelmet élvezhetnek. A Microsoft Office Isolated Conversion Environment (MOICE) a preparált dokumentumokra épülő támadásokat hivatott kiszűrni, amelyek az utóbbi év során szinte havi rendszerességgel bukkantak fel -- általában a javítások megjelenését követő napokban (0-day Wednesday).
"Ha egy kártékony Office 2003-as dokumetumot konvertálunk Office 2007 'Metro' formátumba, vagy egy biztonságos fájl jön létre, vagy pedig sikertelen lesz a konverzió, esetleg maga a konverter is lefagy" -- magyarázta David LeBlanc, a Writing Secure Code for Vista című könyv társszerzője, a vállalat egyik biztonságért felelős munkatársa. A védelmi mechanizmus felhasználásához már csak arra van szükség, hogy az Office 2003 képes legyen beolvasni a konvertált fájlt.
Mivel a folyamathoz két konverzióra van szükség -- először az Office 2003 formátumról Office XML-re, aztán vissza -- a MOICE használata viszonylag időigényes, legalábbis egy fájl megnyitása viszonylag sokáig tart, emellett a dokumentumból eltűnnek a -- szintén potenciális veszélyforrást okozó -- makrók és VBA-szkriptek is, azonban a Microsoft igyekezett hangúlyozni, hogy jelen esetben a biztonság az elsődleges szempont. A vállalat szerint a felhasználók olyan vállalatok közül kerülnek majd ki, amelyek különösen érzékeny adatokkal dolgoznak, például pénzügyi szolgáltatók.
A MOICE nem csak egyszerűen konvertálja a dokumentumokat és megszabadítja őket a potenciálisan veszélyes elemektől, ráadásul mindezt egy zárt, elszigetelt környezetben (sandbox), így magát a konvertert sem lehet támadni. "A lényeg az, hogy ha valakinek mégis sikerül a saját kódját megetetnie a konverterrel, akkor sem tud vele mást elérni" -- mondta LeBlanc. A MOICE hamarosan elérhetp lesz, az Office 2003-ba beépülő pluginnek az eredeti tervek szerint a múlt héten kellett volna megjelennie, azonban a lokalizáció elhúzódása miatt a premiert elhalasztották. Így azonban megjelenésekor az összes Office-verzióval használható lesz, nem csak az angol nyelvűvel -- ígéri a Microsoft.