Endlich: Microsoft gesteht ein, dass MS Office-Dokumente unsicher sind

Schon in den 90ern galt Microsoft Word als eine der größten Virenschleudern am Markt. So waren etwa 1999 9 Makro-Viren in den Sophos Top 10 Virus Charts (erkennbar am „WM” im Namen). Und heute? Null, nada, zip. Grund: Die Makro-Sicherheitsfunktionen in Office und die guten Virenscanner. Nur MessageLabs hat dazu eine aktuelle Meldung:

Microsoft Word hat sich den ersten Platz als meist verbreitetes Übertragungsmittel für gefährlichen Code zurückerobert. Am häufigsten wurden dabei Word-Dokumente mit dem SmartTag Exploit CVE-2006-2492 versandt.

Gut, MessageLabs lebt ja von der Furcht vor Angriffen und verdient gutes Geld damit. Aber nun bestätigt auch Microsoft selbst, dass vor allem die „alten” Office-Versionen mit ihren binären Dateiformaten ein potentielles Sicherheitsproblem darstellen. Vorbei dürften also die Zeiten sein, als der Softwarekonzern aus Redmond seine binären, proprietären Formate als die allein seligmachende Lösung gesehen haben. Die Frage ist nur, woher dieser plötzliche Sinneswandel bei Microsoft kommt, wenn die Bedrohung durch „Office-Viren” eingentlich kaum messbar ist.

In dem Microsoft Security Advisory 937696 schriebt der US-Softwarehersteller (Emphasis mine.):

Today we are announcing the availability of the Microsoft Office Isolated Conversion Environment (MOICE) feature and more widely notifying customers of the File Block functionality for Microsoft Office 2003 and the 2007 Microsoft Office system. Both features are designed to make it easier for customers to protect themselves from Office files that may contain malicious software, such as unsolicited Office files received from unknown or known sources.
…
In summary, MOICE provides a mechanism for customers to pre-process potentially unsafe Office 2003 binary documents, by virtue of the conversions process it provides customers with a greater degree of certainty that the document can be considered safe.

Irgendwie liest sich das ganze Dokument so in der Art wie „Hey, wir sind gerade draufgekommen, dass alles was wir in den letzten 10+ Jahren in Sachen Dateiformat gemachthaben, unsicher war”. Ob das die Message ist, die Microsoft vermitteln wollte? Und die Mac-Office User müssen weiterhin mit den unsicheren Binärfiles arbeiten? Und natürlich will Microsoft mit derartigen „Horror”-Meldungen die Leute in keinster Weise dahingehend animieren, auf die neuesten Versionen von Microsoft Office zu migrieren. ;)

Und das Announcement hat auch sicherlich nichts damit zu tun, dass die Anzahl der ODF-Dokumente im Netz deutlich größer ist, als jener im Microsoft-XML Format. Neeein. Natürlich nicht. Nie! ;)

Die offen gestellte Frage an Microsoft lautet also: Es gibt derzeit keinen sicherheitsrelevanten Argumente, wegen derer man seine Dokumente vom alten, proprietären binären Format auf das neue, proprietäre XMl-Format umstellen sollte. Liebe Microsoft, was ist der wirkliche Grund? Warum soll ich auf ein neues Format wechseln, dass von einem Großteil der Firmen, mit denen ich kommuniziere, nicht lesen können? Da kann ich doch gleich auf OpenOffice wechseln und mir die Schulungskosten für Office 2007 sparen.

Und ich sehe hier ein potentielles Imageproblem für Microsoft. Ein Update/Hinweis auf ein Produkt, das primär dazu dient, den Kunden weiterhin an die eigene Plattform zu binden, als Sicherheitsupdate/Ankündigung zu publizieren ist „frech”. IMHO noch frecher, als das IE 7 Update als „Sicherheitsupdate” zu deklarieren, obwohl Security-Fixes auch für den IE 6 nch länger zu Verfügung stellen. Wenn Microsoft öfter derartige Produkte „sicherheitsrelevant” deklariert, wird der Moloch aus Redmond noch das letzte bißchen Glaubwürdigkeit, das er bei den Windows-Admins noch hat, verlieren.

Tagged as: microsoft, mITtendrin, office, rant, security | Author: Martin Leyrer
[Freitag, 20070525, 22:20 | permanent link | 0 Kommentar(e)