Uten å snakke for høyt om det, har Microsoft arbeidet for å finne en bedre løsning på problemet med makrovirus i selskapets Office-produkter.
Hittil har Microsofts viktigste metode for å hindre spredning av makrovirus vært et meldingsvindu hvor brukeren av Office-produktene blir spurt om han eller hun ønsker å eksekvere makroene i det dokumentet vedkommende holder på å åpne. Dermed har den vanskeligste delen av jobben blitt lagt på brukeren, nemlig å finne ut om en makro er trygg å kjøre eller ikke.
Når Microsoft i løpet av få måneder slipper Office 2000 på markedet, skal det bli en løsning på slike problemer, vel å merke for de som kjøper programvarepakken. Office 2000 introduserer nemlig såkalte digitale signaturer som skal hjelpe brukerne å skjelne legitim kode fra kode som er uønsket eller virusbefengt
Digitale signaturer er i all enkelhet et offentlig sertifikat pluss sjekksummen av de signerte dataene kryptert med en privat nøkkel. Sjekksummen er et nummer som er generert ved hjelp av en kryptografisk algoritme for de dataene brukeren ønsker å signere. Når en applikasjon skal sjekke ektheten til dataene, sjekkes det om dataene er blitt endret siden sjekksummen ble generert. Ifølge Microsoft skal det være svært vanskelig å endre dataene uten samtidig å endre den resulterende sjekksumverdien.
I Office 2000 vil de digitale signaturene brukes til å signere makroer laget i Visual Basic for Applications. Signaturen blir ikke berørt av innholdet i selve Office-dokumentet, slik at dette selvsagt kan endres når som helst.
Hvordan vil så makroer opptre i Office 2000?
Microsoft introduserer i Office 2000 tre sikkerhetsnivåer, på lignende måte som det Internet Explorer har. Valget av sikkerhetsnivå vil avgjøre hvordan Office 2000 behandler dokumenter som inneholder makroer.
Det normale sikkerhetsnivået i Office 2000 er "Høy". I dette sikkerhetsnivået vil ikke Office 2000 åpne makroer som ikke er signerte. Applikasjonene vil heller ikke spørre brukeren om han eller hun ønsker å åpne makroen. Når det gjelder signerte makroer, vil man første gang man åpner et Office-dokument som inneholder en signert makro, se en makroadvarsel som inneholder informasjon om den digitale signaturen. Office-brukeren skal ifølge Microsoft kunne være rimelig sikker på at personen eller bedriften som har signert makroen, er den som har skrevet makroen. Brukeren vil bli spurt om han eller hun ønsker å eksekvere makroen. Brukeren kan også gi beskjed om at han eller hun i fremtiden vil stole på alle makroer som stammer fra denne kilden.
Det midterste sikkerhetsnivået gir brukeren muligheten til å velge om han eller hun vil eksekvere potensielt farlige makroer. Dette tilsvarer det høyeste sikkerhetsnivået i dagens utgaver av Office.
Det laveste sikkerhetsnivået gir ingen beskyttelse mot infiserte makroer i det hele tatt. Dette bør kun brukes hvis du har installert et antivirusverktøy som skanner alle dokumentene du ønsker å åpne, eller hvis brukeren er hundre prosent sikker på at alle dokumentene som åpnes er sikre.
Office 2000 gjør det mulig for brukerne å spesifisere en tredjeparts virusskanner som kan skanne alle filene før de åpnes i Word, Excel eller PowerPoint. Sammen med de det høyeste sikkerhetsnivået gir dette maksimal sikkerhet.
IT-administratorer i bedrifter kan selvsagt overstyre disse innstillingene slik at brukeren kun kan åpne makroer som inneholder signaturer godkjent av administratoren. Dette betyr at ingen i bedriften skal kunne åpne infiserte makroer med mindre noen greier å forfalske akkurat de signaturene denne bedriften har bestemt seg for å stole på. Som nevnt skal de være svært vanskelig å forfalske signaturene, i tillegg vil det etter hvert trolig florere veldig mange forskjellige signaturer rundt i verden, slik at risikoen for at akkurat de signaturene din bedrift stoler på blir forfalsket, må anses som svært liten.
Det er kun Word, Excel og PowerPoint som støtter både sikkerhetsnivåer og digitale signaturer for Visual Basic for Applications-makroer i Office 2000. Access og Outlook støtter sikkerhetsnivåer og digitale signaturer for COM-tillegg (Component Object Model), men det vil ikke inkluderes noe brukergrensesnitt for denne støtten.
Hvordan lages så en digital signatur?
Signaturer kan i forbindelse med Office 2000 opprettes på to forskjellige måter. Den enkleste, som også er kostnadsfri, er å bruke det vedlagte SelfCert-programmet. Dette lager et selvsignert digitalt sertifikat som inneholder navnet til den som har signert sertifikatet. Selvsignerte sertifikater kan forfalskes, slik at disse kun bør benyttes ved personlig bruk. Skal du derimot sende signerte makroer til andre, bør du skaffe et autentisert signatur. Dette gjøres ved å kontakte en organisasjon med sertifiseringsmyndighet. En peker til en oversikt over slike organisasjoner finner du i spalten til høyre.
Det er forøvrig ikke gratis å kjøpe et autentisert sertifikat. Hvis prisen blir den samme som for web-sertifikater, vil den ligge på mellom 1000 og 10.000 kroner.
En peker til mer informasjon om Office 2000 og sikkerhet finner du nedenfor.
