В результате интенсивной работы программистов Microsoft был найден способ ликвидации ошибки, обнаруженной в браузере Internet Explorer, из-за которой с узла Web можно было разрушить файлы, размещенные на любом компьютере.
"Программную заплатку", исправляющую недостаток, можно бесплатно загрузить с узла World Wide Web компании Microsoft. Она предназначена для Internet Explorer 3.01, работающего под Windows 95 и NT 4.0, причем в версиях для других операционных систем этот изъян не обнаружен.
Хотя представители компании заявляют, что ни один из потребителей не сообщил о нарушении защиты своей системы, вызванной этой ошибкой, эксперты по компьютерной безопасности считают, что ситуация достаточно серьезна, поскольку она позволяет обойти широко используемые средства программной защиты.
"Это все равно что оставить постороннего человека работать за вашим компьютером и уйти обедать", - заметил Симсон Гарфункель, автор книг по защите информации в Internet и ведущий колонок в журналах Hotwired и Boston Globe.
Internet Explorer, основной продукт компании Microsoft для Internet, используется во всех странах мира миллионами людей для доступа к Web. По оценкам представителей Microsoft, корпорация контролирует 25-30% рынка и занимает вторую позицию после Netscape Communications с ее Navigator.
Представители Netscape подчеркнули, что в их продукте подобных ошибок с защитой не обнаружено.
"Netscape не имеет подобных трудностей, и, кроме того, ни одна технология не приводила к возникновению угрозы в таких масштабах, - утверждает Эрик Гринберг, менеджер по продуктам защиты компании Netscape. - Microsoft - новичок на арене Internet, и, пытаясь утвердиться на рынке, она неожиданно столкнулась с некоторыми трудностями".
Студенты находят ошибки
Паул Бэлле, менеджер по продажам отделения Microsoft, которое занимается Internet Explorer, сообщил, что специалисты изучают ошибку компании, обнаруженную в первых числах марта студентом Политехнического университета в Ворчестере.
Паул Грин и его друзья передали информацию об ошибке на свой узел Web, под названием Cybersnot.
"Мы отнеслись к этому очень серьезно, - сказал Бэлле, - и сразу привлекли к решению задачи менеджеров и разработчиков".
Бэлле заметил, что эта ошибка позволяет обойти защиту даже самого высокого уровня систем безопасности Internet Explorer.
На своей странице Web Грин отмечает, что Windows 95 поставляется с большим количеством потенциально опасных программ, которые очень просто запустить.
В качестве примера Грин указал, что определенные ссылки могли создавать и удалять некоторые каталоги на машине с Windows 95. В интервью InfoWorld Electric Грин заявил, что последствия от этой ошибки наблюдаются только в Internet Explorer.
"Опасность для IE заключается в том, что любой настроенный против Microsoft злоумышленник может создать свой узел Web и нанести вред каждому, кто использует Internet Explorer, оставив при этом в неприкосновенности тех, кто работает с другими браузерами", - подчеркнул Грин.
Хотя Microsoft быстро отреагировала на сообщение об ошибке, по мнению эксперта по защите Гарфункеля, для полного решения проблемы пользователям Internet Explorer следует модифицировать свое программное обеспечение.
"Причина столь серьезного отношения к ошибке в том, что воспользоваться ею очень легко, и это становится известно многим, - отметил он. - С Internet Explorer работают миллионы людей, которые не смогут быстро провести модернизацию".
По словам Бэлле, за год существования Internet Explorer 3.0 и 3.01 это первый случай возникновения проблем с защитой, о котором сообщили сотрудники Microsoft. Ошибка найдена в первую очередь в этих версиях Internet Explorer, но, возможно, она скажется и на других версиях.
Как можно использовать обнаруженный недостаток
Ошибка связана с базовыми функциями операционных систем Windows 95 и Windows NT компании Microsoft. Когда пользователь ПК указывает на гиперссылку на странице Web, автор страницы Web мог бы сделать ссылку, привязанную к файлу, известную как ярлык ("shortcut") в Windows 95 и NT. Ярлыки широко используются для запуска компьютерных программ или функций.
Если создатель страницы Web может определить точное местоположение и название требуемой программы на компьютере пользователя, ярлыки на странице Web могли бы выбрать и инициировать программы на жестком диске пользователя без ведома последнего.
Многие широко распространенные программы, такие как Windows 95, имеют стандартное местоположение или адреса, где их компоненты хранятся на компьютере. Если пользователь ПК выполнил стандартную установку или иным образом не модифицированную программу, значение адреса предположить довольно просто.
Новые проблемы с безопасностью IE
Сотрудники Microsoft признали, что студенты Массачусетского технологического института нашли новый прокол в браузере Internet Explorer (IE) 3.01. Это четвертый прокол, обнаруженный за последние две недели. Похоже, репутация нового браузера пока оставляет желать лучшего.
Последний из подобных изъянов, найденный неделей раньше, связан со схожестью операционной системы Windows и браузера. Студенты обнаружили, что Internet Explorer автоматически выполняет файлы с расширением .ISP, расположенные на Web-сервере. Это позволяет оператору сервера выполнять на компьютере браузера программы, изменять каталоги и даже удалять файлы. Аналогичную ситуацию, связанную с .URL и .LNK файлами, заметили студенты Уорчестерского политехнического института.
Все это далеко не случайно. При проектировании Internet Explorer предполагалось, что пользователи смогут работать по сети с некоторыми файлами Windows, например с макросами. Но оказалось возможным и обратное: операторы Web-серверов получили свободный доступ к компьютеру, на котором установлен браузер.
Вначале студенты Уорчестерского политехнического института обнаружили проблему с .LNK и .URL-файлами. Затем студенты Университета штата Мэриленд поняли, что можно встроить уменьшенное окошко Windows Explorer в Web-страницу, придав ему вид кнопки, двойное нажатие на которую, как обычно, приводит к запуску программы.
И вот теперь студенты из Массачусетса открыли, что Internet Explorer выполняет также .ISP-файлы - более того, они поняли, что эти файлы можно сделать выполняемыми автоматически при вызове Web-страницы. Студенты Уорчестера вначале полагали, что все не так уж сложно, ибо здесь нужно использовать связь с исполняемым файлом через гиперссылку, для чего необходимо знать имя каталога, в котором он расположен. Но, как верно заметили студенты из Массачусетса, это не слишком большая преграда, так как большинство каталогов в Windows имеют стандартные имена.
На прошлой неделе Microsoft выпустила программу Saturday, позволяющую ликвидировать сразу три прокола для систем Windows 95 и NT. Кроме того, пользователи IE 3.0 могут прибегнуть к помощи отдельной программы, закрывающей Java-приложениям доступ к жесткому диску.
Мнения о возможных последствиях обнаруженных недостатков разделились. Некоторые пользователи выражают серьезную обеспокоенность по поводу ActiveX. Корпорация, вынужденная латать одну брешь за другой, также находится не в самой выигрышной позиции. Однако Поль Балле, главный менеджер по Internet Explorer, ссылается на браузер Netscape, у которого тоже были затруднения с безопасностью, что, однако, не отразилось на его популярности.
Network World Fusion