Сравнение безопасности Microsoft Office и OpenOffice.org
21 апреля 2011 года
Ден Каминский (Dan Kaminsky), получивший известность обнаружением фундаментальной уязвимости в DNS, провёл сравнительный анализ безопасности различных версий офисных пакетов Microsoft Office и OpenOffice.org, на основании оценки числа крахов при работе пакетов в нестандартных ситуациях, таких как обработка некорректных входящих данных. В итоге была накоплена статистика о крахах, из которых были отобраны проблемы, которые потенциально могут привести к уязвимостям. На основе анализа данных был подготовлен отчет.
Вилл Дорман (Will Dormann) из организации CERT заинтересовался работой Каминского и подготовил собственный отчет, основанный на результатах ранее проведённого похожего исследования. Метод выявления ошибок у Дормана сводился к оценке реакции парсера DOC-файлов на попытки обработки случайно сгенерированных некорректных данных (в сумме было сгенерировано и проверено 190 тыс. файлов). В случае краха, проблема анализировалась при помощи инструмента "!exploitable Crash Analyzer", предназначенного для автоматического выявления возможных уязвимостей и классификации опасности проблемы.
Сделанные Каминским и Дорманом выводы во многом совпадают: за последние годы число крахов и уязвимостей, наблюдаемых в новых версиях Microsoft Office, кардинально уменьшилось и достигло показателей, которые даже ниже, чем в OpenOffice.org. Тем не менее, к подобным результатам следует относиться осторожно, так как они получены на основании автоматической оценки, которая не всегда коррелирует с реальными угрозами. Кроме того, было исследовано только поведение, связанное с обработкой DOC-файлов, в то время как рассмотренные пакеты поддерживают десятки других форматов. Также формат DOC не является родным для OpenOffice.org, поэтому можно допустить, что более высокий уровень ошибок связан с недостаточным уровнем отладки вторичных систем.
Полученные Дорманом результаты показали, что в каждой новой версии MS Office и OpenOffice.org устойчиво наблюдается уменьшение числа крахов, по сравнению с прошлыми версиями. Одновременно уменьшается и число потенциально выявленных уязвимостей. В свежей версии MS Office 10 было выявлено всего 17 крахов и 0 потенциальных уязвимостей, в то время как в выпущенном в 2001 году Office XP зафиксировано 293 краха и 7 потенциальных уязвимостей. В OpenOffice.org 3.3rc5 наблюдалось 154 краха и 15 потенциальных уязвимостей, в OpenOffice.org 3.2.1 зафиксировано 163 краха и 18 потенциальных уязвимостей.
В отчете Каминского наблюдалась примерно та же тенденция, которая отличается лишь порядком найденных проблем: В Office 2003 было выявлено 127 потенциальных уязвимостей, в Office 2007 - 12 и в Office 2010 - 7. В выпущенном в 2003 году OpenOffice.org 1.1 присутствовало 73 потенциальные уязвимости, в релизе OpenOffice.org 2.3 (2007 год) - 62 и в OpenOffice.org 3.2 - 20. По мнению Каминского налицо тенденция увеличения качества офисных пакетов. Тем не менее, из-за более высокой популярности MS Office в среде злоумышленников даже при наличии меньшего числа уязвимостей, использование данного пакета представляет больший риск, чем при использовании OpenOffice.org, плюсом которого в плане затруднения проведения атаки также является более частый выпуск релизов и большая фрагментация установочных пакетов.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
