Microsoft không thể vá lỗ hổng trong Office

Ông John Pescatore, nhà phân tích bảo mật chính của công ty Gartner, nói “Những gì đang xảy ra cho thấy Office có rất nhiều lỗ hổng. Trong 18 tháng qua, hacker đã làm hỏng nhiều định dạng file của Office.” Nói về fuzzing, ông nhận xét đây là một phương thức sử dụng công cụ tự động đưa dữ liệu ngẫu nhiên vào ứng dụng để xem khi có lỗi xảy ra.

Fuzzing là cách thức mà hacker luôn sử dụng. Microsoft đã phải liên tục vá lỗ hổng định dạng trong những ứng dụng Office, lần vá gần đây nhất thực hiên vào tháng bảy khi sửa một lỗ hổng trong ứng dụng Publisher 2007, và vá 7 lỗ hổng trong Excel với 2 lỗ hổng trong Word vào tháng 6.

Hacker hiện đang sử dụng công cụ fuzzing để phát hiện lỗ hổng trong Office. Trong khi đó Microsoft nói "Chúng ta không thể tìm ra chúng, vậy thì không nhắc đến bản vá và lỗ hổng nữa. Mà hãy nghĩ cách cài sandbox vào những lỗ hổng đó.”

Kĩ thuật sandbox mà Pescatore nói đến là một sự bổ sung mới cho Office 2010, bản cập nhật sắp tới của phần mềm ứng dụng Windows bán chạy nhất của Microsoft.

Theo Brad Albrecht, một nhà quản lý chương trình bảo mật cao cấp cùng với nhóm phát triển Office, Office 2010 sẽ được tích hợp công cụ “Protect View” để tách những file Word, Excel và PowerPoint chạy trong môi trường chỉ đọc. Trong một bài viết đăng trên blog của công ty tuần này, Albrencht cho biết “sandbox sẽ giới hạn đến mức tối thiểu quyền truy cập hệ thống và không cho phép truy cập vào những file khác và thông tin của người dùng. Cho dù file đó là độc hại thì nó cũng không thể thoát ra khỏi sandbox để phá hủy máy tính và dữ liệu của người dùng.”

Pescatore nói rằng “Đó là một dấu hiệu đáng mừng. Kĩ thuật sandbox và phân lập luôn là những biện pháp bảo mật hữu hiệu để giới hạn sự phá hoại của một file độc.”

Albrecht cũng cho biết những phương pháp bảo mật khác được tích hợp trong Office 2010, gồm một công cụ file blocker linh hoạt hơn và công cụ “Office File Validation”, công cụ này đã được tích hợp trước đó trong Publisher 2007 SP2.

Công cụ file blocker, được giới thiệu trong Office 2007 sau đó được sử dụng lại trong phiên bản Office 2003 SP3 được tung ra vào tháng 9/2007, sẽ tự động ngăn cản quá trình truy cập vào một số loại tài liệu. Albrecht nói rằng Office 2010 sẽ cho phép người dùng tinh chỉnh công cụ để quản lý tốt hơn lựa chọn định dạng mở của Word, Excel và PowerPoint.

Pescatore ủng hộ sự linh hoạt của file blocker khi nói rằng “File blocker là một công cụ hoàn hảo trong Office 2007, và nó sẽ giúp người dùng loại bỏ những thông báo lỗi.”

Trong khi đó Office File Validation là một hệ thống xác nhận định dạng file tiền XML được tích hợp trong Word, Excel và PowerPoint, sau đó chặn những file không có trong danh sách định dạng. Những tài liệu chứa mã độc cũng có thể gây ra sự ngăn chặn, khi đó Office 2010 sẽ chuyển tài liệu này vào Protected View sandbox.

Trong khi thảo luận về những kế hoạch cải thiện bảo mật của Microsoft cho Office 2010, Pescatore nói “Những file ở trong sandbox được đặt ở chế độ chỉ đọc, nhưng nếu tôi cần mở nó và chỉnh sửa thì chắc hẳn sẽ không dễ dàng.”

Ông cho biết thêm, một nhược điểm khác nữa của kĩ thuật sandbox, về cơ bản là những phiên bản nhẹ của máy ảo, là nó sẽ sử dụng tài nguyên của PC. “Mặt khác, PC sẽ hoạt động nhanh hơn vì vậy chúng ta có thể đưa quá nhiều chu trình vào sanbox.”

Albrecht khẳng định rằng những công cụ bảo mật mới trong Office 2010 sẽ tác động tới thời gian tải tài liệu mà chúng ta không thể nhận biết được. Tuy nhiên ông lại không chỉ rõ những chi tiết về yêu cầu hệ thống hay những tác động tới tài nguyên vi xử lý và tài nguyên bộ nhớ của máy.

Microsoft đã không cho phép Albrecht trả lời những câu hỏi tiếp theo về kế hoạch bảo mật của Office 2010. Nhưng Pescatore thấy hứng thú với những chi tiết trong bản tóm tắt của Microsoft khi nói rằng "việc phát triển sandbox, đặc biệt là cho những tài liệu Word, là một ý tưởng rất tuyệt.”