Cel.ro

Rezultate cautare Categorie: Securitate IT

Niveluri de securitate în Microsoft Office 2003

de gmp
Publicat la: 29 July 2011
Categorii: Office, Securitate IT
Comentarii: Fara comentarii

Meniu:
Tools -> Options | Security -> Macro Security (Word, Excel, Powerpoint)
Tools -> Macro -> Security (
Word, Excel, Powerpoint, Access, Outlook)

Nivelurile de securitate (Security Level) în suita Microsoft Office 2003 permit activarea/dezactivarea sau confirmarea la deschidere pentru macrocomenzile instalate în documente, şabloane (Templates) sau module adăugate (Add-ins) instalate în programele suitei (Word, Excel, Powerpoint, Access, Outlook).

Security Level

Security Level

Cele 4 niveluri de securitate sunt:

  • foarte ridicat (Very High);
  • ridicat (High);
  • mediu (Medium);
  • scăzut (Low).

Pentru nivelul de securitate scăzut (Low) nu se va afişa niciun mesaj de avertizare. Deşi nu este recomandabil, se poate alege doar dacă există un antivirus care scanează documentele înainte de a fi accesate şi există certitudinea în privinţa încrederii sursei de provenienţă.

Pentru nivelul de securitate foarte ridicat (Very High), toate macrocomenzile (semnate sau nesemnate digital) sunt dezactivate, cu excepţia celor instalate în amplasările de încredere (Trusted Path).

Pentru nivelurile de securitate mediu (Medium) şi ridicat (High), la deschiderea unui document, şablon sau modul care conţine macrocomenzi, Word afişează o fereastră de avertizare (Security Warning) deoarece:

  • macrocomanda nu provine de la o sursă de încredere (trusted source) – sursa este necunoscută sau nu este adăugată în lista Editorilor de încredere (Trusted Publishers);
  • documentul poate conţine un virus de macrocomandă – dacă este suspectă sau se consideră inutilă prezenţa unei macrocomenzi într-un document, atunci este posibil ca documentul să fie infectat cu un virus de macrocomandă sau pe computerul respectiv să existe un virus care infectează documentele, adăugând macrocomenzi. Este recomandabil ca prima dată documentul să fie deschis fără macrocomenzi şi să se observe dacă într-adevăr se justifică prezenţa lor.
  • s-a detectat o macrocomandă într-un document descărcat de pe Web, într-un folder temporar – dacă antivirusul detectează o problemă cu acel fişier, va acţiona doar asupra fişierului local (o nouă descărcare a aceluiaşi document infectat va duce la aceeaşi reacţie a antivirusului).
  • documentul conţine macrocomenzi legitime şi sigure – în acest caz este posibilă semnarea digitală a acelor macrocomenzi cu propriul certificat digital (pentru a garanta că acele macrocomenzi sunt sigure) şi adăugarea propriului nume în lista Editorilor de încredere (Trusted Publishers).
  • sursa care a semnat macrocomenzile nu este autentificată – o astfel de avertizare apare dacă documentul conţine macrocomenzi semnate digital, dar certificatul digital nu a fost autentificat (dacă de exemplu se foloseşte un certificat auto-semnat). Auto-semnarea certificatelor digitale (Self-Signed Certificate) este recomandată pentru macrocomenzi distribuite local sau pentru uz propriu. În toate celelalte cazuri se folosesc certificate digitale autentificate, obţinute de la autorităţi care pot verifica şi valida identitatea solicitantului Un utilizator rău intenţionat poate auto-semna un proiect de macrocomenzi care conţine cod maliţios cu un nume fals (de exemplu, “Microsoft Corporation”) şi înşela apoi alţi utilizatori.

În imaginea următoare se prezintă fereastra de avertizare pentru acceptarea unor macrocomenzi existente în fişierul şablon PDFMaker.dot instalat în suita Microsoft Office de programul Adobe Acrobat 6 (creat de compania Adobe Systems Incorporated).

Security Warning

Security Warning

Din fereastra de avertizare se pot lua următoarele decizii:

  • confirmarea rulării macrocomenzilor (clic pe Enable Macros) – macrocomenzile vor fi permise pentru executare temporar, numai în acea sesiune de lucru. La o nouă deschidere a documentului, fereastra de avertizare va reapărea.
  • dezactivarea macrocomenzilor (clic pe Disable Macros) – documentul/şablonul va fi deschis fără macrocomenzi, existând însă riscul unei funcţionări incomplete/incorecte, dacă de exemplu există în document formulare cu macrocomenzi asociate unor elemente componente (Text Form Field, Check Box Field, Drop-Down Form Field) sau controale ActiveX;
  • adăugarea editorului în Lista editorilor de încredere (Trusted Publishers), doar după ce există informaţii complete şi sigure în legătură cu acel editor (producător al macrocomenzii). Prin această opţiune editorul este declarat “de încredere” şi nu va mai apărea fereastra de avertizare pentru orice altă macrocomandă a acestui editor.
  • vizualizarea detaliilor despre semnătura digitală folosită pentru macrocomenzile incluse în document (butonul Details): sunt afişate numele deţinătorului, adresa e-mail, data obţinerii certificatului digital, autoritatea de certificare (CA – Certification Authority) care a emis certificatul şi alte informaţii tehnice. Din fereastra de detalii se poate vizualiza Certificatul digital al deţinătorului. Certificatul se poate instala în sistem prin apăsarea butonului Install Certificate. Este lansată o aplicaţie ajutătoare (Wizard) pentru importul certificatului digital în una din căile (Path) disponibile.

Certificate Import Wizard pas 1

Certificate Import Wizard pas 1

Certificate Import Wizard pas 2

Certificate Import Wizard pas 2

Certificate Store

Certificate Store

În imaginile de mai jos se prezintă informaţii despre semnătura digitală şi certificatul digital ale producătorului Adobe Systems Incorporated.

Digital Signature Details - General

Digital Signature Details - General

Digital Signature Details - Advanced

Digital Signature Details - Advanced

Certificate Information - General

Certificate Information - General

Certificate Information - Details

Certificate Information - Details

Certificate Information - Path

Certificate Information - Path

Toate documentele incluse în kitul Office 2003 (şabloane, add-ins, macrocomenzi) sunt semnate digital de Microsoft – caseta de validare Trust all installed add-ins and templates (Tools -> Macro -> Security | Trusted Publishers |) este bifată implicit. O altă metodă de acceptare automată a macrocomenzilor Microsoft este adăugarea editorului “Microsoft” în lista surselor de încredere (bifarea opţiunii Always trust macros from this publisher). Astfel nu se vor mai genera mesaje de avertizare pentru niciunul din fişierele Microsoft instalate (în acel moment sau ulterior).

Un nivel maxim de protecţie la acţiunea nedorită a viruşilor ascunşi în macrocomenzi constă în:

  • instalarea şi actualizarea periodică a unui program antivirus cu performanţe recunoscute;
  • stabilirea nivelului de securitate la maxim (Very High);
  • neîncredere în autorii modulelor şi şabloanelor instalate (se debifează Trust all installed add-ins and templates);
  • utilizarea semnăturilor digitale (Digital Signatures);
  • menţinerea unei liste a editorilor de încredere (Trusted Publishers).

Crearea şi utilizarea unui certificat digital auto-semnat (self-signed) în Microsoft Office 2003

de gmp
Publicat la: 27 July 2011
Categorii: Office, Securitate IT
Comentarii: Fara comentarii

Certificatul digital este un fişier ataşat unui document sau mesaj de poştă electronică prin care:

  • se garantează autenticitatea acestuia (faptul că provine de la cel care se declară autorul său);
  • se asigură criptarea securizată (cu chei publice);
  • se furnizează o semnătură electronică verificabilă.

Un certificat digital conţine, printre alte informaţii:

  • numele autorului, adresa e-mail, organizaţia din care face parte şi ţara;
  • lungimea cheii (1024 sau 2048 biţi), algoritm RSA;
  • perioada de valabilitate.

Un certificat digital poate fi emis de:

- autorităţi de certificare recunoscute la nivel mondial (furnizori comerciali de certificate digitale, denumiţi Certification Authority – CA). Microsoft menţine o listă a autorităţilor comerciale care verifică şi validează identitatea solicitanţilor şi furnizează certificate digitale folosite în diverse scopuri: securizare server de poştă electronică, autentificare server Web, semnătură cod de program sau autentificare client. Câteva dintre aceste autorităţi: CertPlus, Entrust, GeoTrust, GlobalSign, Thawte, Verisign. Mai multe autorităţi membre ale programului Microsoft Root Certificate găsiţi aici.

- un grup intern dintr-o companie sau organizaţie, care acţionează ca autoritate de certificare şi produce sau distribuie certificate digitale folosind aplicaţii precum Microsoft Certificate Server.

- autorul însuşi, prin auto-semnare (“self-signed“). Acest tip de certificat nu verifică şi nu garantează identitatea semnatarului, ci doar că documentul / proiectul de macro-comenzi este nealterat (nemodificat) de la ultima semnare digitală. La deschiderea unui proiect de macrocomenzi care conţine un certificat digital auto-semnat se va genera o avertizare de securitate. Un certificat digital auto-semnat este creat pentru uz personal. Pentru macrocomenzi comerciale, distribuite în masă, este nevoie de un certificat digital obţinut de la o autoritate de certificare (CA).

Pentru mai multe informaţii vezi şi Semnături şi certificate digitale în documente Office Word 2003.

Crearea unui certificat digital auto-semnat

Start -> Programs -> Microsoft Office -> Microsoft Office Tools -> Digital Certificate for VBA Projects

Pentru a crea un certificat digital auto-semnat în Microsoft Office 2003 se foloseşte Digital Certificate for VBA Projects, aflată în grupul Microsoft Office -> Microsoft Office Tools (aplicaţia corespunzătoare este Selfcert.exe din Program Files\Microsoft Office\OFFICE11). Dacă nu există, instalarea aplicaţiei se face din programul Setup al Office 2003, în care se alege Choose advanced curstomization of applications.

Instalare Digital Certificate for VBA Projects

Instalare Digital Certificate for VBA Projects (Microsoft Office 2003 Setup)

Din categoria Office Shared Features se alege Digital Certificate for VBA Projects şi se bifează Run from My Computer.

Instalare Digital Certificate for VBA Projects

Instalare Digital Certificate for VBA Projects (Microsoft Office 2003 Setup)

Programul va solicita numele autorului (deţinătorului) şi va genera un certificat digital auto-semnat pe acest nume.

Creare certificat digital auto-semnat (selfcert.exe)

Creare certificat digital auto-semnat (selfcert.exe)

Certificatele digitale sunt stocate şi organizate logic în locaţii de sistem denumite “Certificate Store” astfel încât să fie disponibile şi altor aplicaţii instalate. Aceste locaţii reunesc atât propriile certificate, cât şi certificatele provenite de la diverse autorităţi sau alte aplicaţii.

Exemplu: după instalarea programului Adobe Acrobat, în Microsoft Office se instalează un şablon global (PDFMaker) care conţine o bară de butoane specifice şi mai multe macrocomenzi, utile în conversia documentelor în format .pdf. Pe baza certificatului digital şi a confirmării de către utilizator, producătorul Adobe Systems Inc. a fost adăugat în lista Editorilor de încredere (Trusted Publishers).

Lista Editorilor de încredere (Trusted Publishers)

Lista Editorilor de încredere (Trusted Publishers)

Utilizarea unui certificat digital auto-semnat

Implicit, un document sau un proiect de macro-comenzi nu este semnat digital.

Semnarea unui document Office 2003
Tools -> Options | Security -> Digital Signatures (Microsoft Word / Excel / Powerpoint)

Semnarea unui document Office 2003

Semnarea unui document Office 2003

Semnarea unui proiect de macro-comenzi Office 2003
Tools -> Digital Signature (Microsoft Visual Basic)

Semnarea unui proiect de macro-comenzi Office 2003

Semnarea unui proiect de macro-comenzi Office 2003

Certificatele existente în sistem, disponibile pentru a semna documente sau proiecte de macro-comenzi, sunt prezentate în fereastra Select Certificate.

Selectarea certificatului digital disponibil pentru semnare

Selectarea certificatului digital disponibil pentru semnare

Se observă certificatul digital auto-semnat creat anterior pentru numele “utilizator“, autoritatea emitentă (fiind auto-semnat, certificatul este emis chiar de “utilizator“), scopul pentru care a fost emis (semnare de cod – Code Signing) şi data de expirare.

Odată ales un certificat digital, chiar şi auto-semnat, documentul devine semnat digital. Un document poate fi semnat la un moment dat de unul sau mai mulţi semnatari.

Document cu semnătură digitală

Document cu semnătură digitală

Un document semnat digital va avea în bara de stare (Status Bar) un simbol care indică acest lucru (cu dublu clic se pot obţine informaţii suplimentare despre certificatul digital folosit la semnarea documentului).

Indicator de semnătură digitală în Status Bar

Indicator de semnătură digitală în Status Bar

Orice modificare ulterioară semnării digitale va duce la invalidarea acesteia şi la eliminarea semnăturii (semnăturilor) digitale existente (aceasta arată că documentul a fost alterat de la ultima semnare). Dacă autorul sau oricine altcineva doreşte să facă modificări în document, poate în final să aplice propria semnătură digitală, ca o dovadă că el a fost ultimul care a modificat documentul şi confirmă astfel conţinutul acestuia.

Conţinutul unui certificat digital auto-semnat

Butonul View Certificate din fereastra Select Certificate (de mai sus) permite vizualizarea în detaliu a proprietăţilor certificatului digital auto-semnat. Cele 3 categorii de informaţii sunt:

  • informaţii generale: deţinătorul certificatului, autoritatea emitentă şi perioada de valabilitate a certificatului (de la… până la…). Certificatul auto-semnat nu face parte din categoria Certificate de încredere (Trusted Root Certification Authorities store). Informaţia despre prezenţa cheii private (“You have a private key that corresponds to this certificate“) conduce la concluzia că acest certificat auto-semnat a fost creat pe aceeaşi maşină.
  • detalii tehnice despre informaţiile conţinute (algoritmul folosit, lungimea cheii publice etc.);
  • calea (Certification Path) unde este salvat certificatul.

Informaţii generale într-un certificat digital

Informaţii generale într-un certificat digital

Informaţii tehnice detaliate într-un certificat digital

Informaţii tehnice detaliate într-un certificat digital

Informaţii despre calea (path) unui certificat digital

Informaţii despre calea (path) unui certificat digital

Fereastra de detalii permite două funcţii suplimentare:

  • editarea proprietăţilor certificatului (dacă certificatul a fost creat pe aceeaşi maşină)
    • adăugarea unui nume
    • restrângerea domeniului de utilizare a certificatului
    • se pot specifica adresele Web pentru alte certificate digitale ale aceluiaşi proprietar. Această referinţă încrucişată între certificate permite stabilirea unei relaţii de încredere între două autorităţi de certificare între care nu există niciun alt fel de legătură.

Editarea proprietăţilor unui certificat digital

Editarea proprietăţilor unui certificat digital

Certificate digitale încrucişate (Cross-Certificates)

Certificate digitale încrucişate (Cross-Certificates)

  • exportul într-un fişier extern (Copy to File…) – este lansată o aplicaţie ajutătoare (Certificate Export Wizard) care permite copierea certificatului digital din locaţia de sistem în care este stocat (Certificate Store) într-un fişier care apoi poate fi manipulat (salvat, copiat, trimis prin poştă electronică etc.).

Exportul certificatului digital (Certificate Export Wizard)

Exportul certificatului digital (Certificate Export Wizard)

Exportul cheii private din certificatul digital

Exportul cheii private din certificatul digital

Alegerea formatului de export pentru certificatul digital

Alegerea formatului de export pentru certificatul digital

Exportul certificatului digital se poate face în formatele:

  • .cer (DER encoded binary X.509 sau Base-64 encoded X.509)
  • .p7b (Cryptographic Message Syntax Standard  – PKCS #7 Certificates)

Apple şi Google colectează coordonatele GPS ale utilizatorilor

de gmp
Publicat la: 4 July 2011
Comentarii: Fara comentarii

Dintr-un studiu al ziarului american Wall Street Journal. publicat pe site-ul său la 22 aprilie 2011, Apple şi Google obţin ilegal locaţia posesorului unui dispozitiv iPhone, respectiv al unui telefon smartphone cu sistem de operare Android. Aceasta reprezintă o imensă ameninţare la adresa intimităţii persoanei, cu atât mai mult cu cât aceasta nu ştie că este înregistrată şi, în plus, nu poate întrerupe procesul de divulgare a datelor.

Scopul unui astfel de demers ar putea fi strângerea de informaţii pentru o imensă bază de date care să poată localiza cu precizie, folosind un dispozitiv mobil, coordonatele unei persoane în timp real. Conform Gartner, o reputată companie americană de consultanţă şi cercetare în domeniul IT, piaţa serviciilor de localizare este estimată să atingă suma de 8,3 miliarde de dolari până în anul 2014.

Mai întâi a apărut informaţia că dispozitivele iPhone şi iPad ale companiei Apple stochează într-un fişier detalii despre locul în care s-a aflat telefonul (care se presupune că a stat la posesorul său) o perioadă lungă, de ordinul a luni sau chiar ani. Doi specialişti în securitate IT, Pete Warden şi Alasdair Allan, au constatat că datele referitoare la localizare (latitudinea, longitudinea, data şi ora) sunt salvate în calculatorul personal atunci când se face sincronizarea celor 2 dispozitive. Oricine ar obţine accesul la telefon sau computer, ar putea obţine informaţii detaliate despre persoana vizată. Problema se pare că e chiar mai veche, apărută odată cu versiunea iOS4 a sistemului de operare, lansată în luna iunie 2010. Cei doi au lansat site-ul Web petewarden.github.com/iPhoneTracker în care prezintă în detaliu problema descoperită şi alte aspecte conexe şi pun la dispoziţia utilizatorilor o aplicaţie care afişează punctele prin care telefonul s-a deplasat.

iPhoneTracker

Apple şi Google colectează coordonatele GPS ale utilizatorilor. Sursa: petewarden.github.com

Apple a recunoscut într-o scrisoare trimisă anul trecut senatorilor americani Edward Markey şi Joe Barton că, “intermitent”, colectează date referitoare la coordonatele GPS ale utilizatorilor de iPhone şi reţelele wireless din vecinătate, pe care le primeşte la un interval de 12 ore.

În aceeaşi săptămână, analistul în securitate Samy Kamkar a dezvăluit publicului că şi un telefon HTC cu sistem de operare Android înregistrează coordonatele la câteva secunde şi transmite datele către Google de câteva ori pe oră, împreună cu numele, poziţia şi puterea semnalului reţelelor Wi-Fi din împrejurimi (descoperite de mecanismul wireless al telefonului).

O altă problemă cu care s-a confruntat Google a fost colectarea informaţiilor despre reţelele Wi-Fi în cadrul programului StreetView de cartografiere şi fotografiere a oraşelor. Oprită în 2010 din cauza scandalului iscat, campania de colectare a datelor a strâns şi informaţii referitoare la parole sau adrese e-mail din aceste reţele. Telefoanele cu Android se pare că nu furnizează astfel de date.

Una din cele mai noi inovaţii ale tehnologiei Web 2.0, strâns legată de activitatea individului reflectată în reţelele sociale, o reprezintă crearea de hărţi cât mai precise, cu cât mai multe informaţii referitoare la străzi, construcţii, puncte de interes, şosele şi trafic, Avantajele pe care le prezintă noile tehnologii se pare că nu întotdeauna respectă unele din drepturile fundamentale ale utilizatorilor, printre care şi dreptul de a-şi apăra viaţa personală de ochii indiscreţi care privesc din exterior.

pagina 1 din 1


Utilizator: , data curenta: 19 March 2024