mboost-dp1

unknown

OpenOffice mindre sikker end Microsoft Office

- Via Ars Technica - , redigeret af amokk

Forskere ved det franske forsvarsministerium har haft den frie kontorpakke OpenOffice 2 samt det kommercielle Microsoft Office System igennem diverse sikkerhedstest.

I den forbindelse blev forskerne opmærksomme på, at OpenOffice især var sårbar overfor skadelig makrokode, da det tillader visse makroer at blive kørt pr default, hvor MS Office altid spørger brugeren først.

En forsker udtaler til franske ZDNet:

”Vi kan bekræfte, at OpenOffice for os virker mere farlig end det kommercielle alternativ fra Microsoft.”





Gå til bund
Gravatar #1 - Andos
20. jul. 2006 00:57
Selvom OO måske burde tænke over deres designvalg synes jeg ikke man kan basere deres konklusion ud fra det. Der er mange mange andre elementer som gør et hele. De kigger kun et enkelt sted.
Hvad kan en makro f.eks. gøre i forhold til onskabsfuld kode som via et sikkerhedshul kan køres?
Gravatar #2 - TigerShark
20. jul. 2006 01:11
#1
Nu er det jo sådan set makro-vira der udgør den største sikkerhedstrussel for de almindelige desktop office programmer.
Derfor er det jo yderst relevant at være klar over at OO er "mindre sikker" end MS Office.
Men man skal huske på at det vist nok først var fra MS Office 2003 (og diverse servicepacks til tidligere versioner) makro-afvikling blev sat som "spørg først".
Jeg tror ikke der går mange dage før dette bliver rettet i en patch til Open Office.
Gravatar #3 - ztyle
20. jul. 2006 01:47
Tror man skal tage det med et gran salt, da de har brugt 2.0, som OOo selv har sagt indholdte store sikkerheds huller som er blevet lukket i de senere versioner.
Gravatar #4 - lorric
20. jul. 2006 07:40
#1 De har brugt et år på den undersøgelse, tror du virkelig at de kun har kikket på makroer? (Der står faktisk i artiklen, at de har kikket på mere, men ikke på hvad)
Gravatar #5 - skrump
20. jul. 2006 08:26
Kan man ikke slå det makrop*s fra? Hvem har fået den syge idé at man skal kunne indlejre programmer i sine breve til farmor?
Gravatar #6 - DUdsen
20. jul. 2006 09:26
#5 OOo's macro håndtering er på overfladet stort set identisk med MSO's macrohåndtering, hvilket betyder at de også burde værre ret ens sikkerhedsmæssigt, default kan værre anderledes men konfigurations muglighederne er svjv identiske, eller for at svare kort selvfølgeligt kan man slå macrolort fra, men så kan det ikke bruges med klaphugger CMS'er af den type masser af instututioner bruger.

Problemet er selvfølgeligt at embedded code er i dokumenter er noget rod, men det er usælgeligt.

Igen er problemet måske også at OOo på mange måder er mere kompatibelt med MSO end MSO selv er, dvs man er nødt til at tolerere gammel adfærd.

Iøvrigt skal man altid tage den slags korte opsumeringer med lidt sindsro for selv om der er brugt et år, eller netop fordi der er brugt et år vil 5 linier på ingen måde kunne redegøre for hvad rapporten siger.

MS FUD's afdeling har leveret en række gode eksempler på det, f.eks. at linux er dyrerere og langsommere end MS produkter, på bagrund af en sammenligning mellem Oracle's dyreste og mest avacerede løsninger mod MS biligste og mindst komplicerede løsninger.
her svarerede datamatrialet på et andet spørgsmål end den korte konklusion.

og netop fordi vi taler conseptual fejl og ikke huller vil betydningen af fejlne værre dypt afhængige af hvordan de er implementerede, jeg er sten sikker på at man kan finde scenarier, hvor fejlne igen betydning har, og hvor MSO vil værre mindre sikker.
Gravatar #7 - stelki
20. jul. 2006 10:18
Hvorfor kan man ikke rate en nyhed som flamebait? den tjener jo INTET andet formål.
Gravatar #8 - Grüne
20. jul. 2006 10:26
[offtopic]
var jeg den eneste som hørte et stort "D'OH"?
[/offtopic]

#7 - det er måske alligevel en ok nyhed, nok ikke den bedste vi har haft, men den beviser måske at Open Soucre altså har sine ulemper..
Gravatar #9 - mindzero
20. jul. 2006 10:54
#8:
Det her har jo INTET med opensource vs. closed source at gøre. Denne nyhed handler jo om en indstilling i et program og ikke om et hul, der er fundet i kildekoden.

Personligt synes jeg at det er lidt svært at tage stilling til. Skal man irritere brugeren og spørge om lov til at åbne et dokument hver gang (hvor 90% af brugerne så alligevel bare trykker ja) eller skal der andre metoder til, som for eksempel en skræmmekampagne hvor programmet så åbner 90 popups, vender skærmbilledet på hovedet og så bare skriver "MAKROER KAN VÆRE FARLIGE" til sidst.
Gravatar #10 - lean
20. jul. 2006 10:56
For satan. Hvorfor bruger de en gammel version til at teste på? Jeg synes virkelig det er synd for alle de Windows brugere som ikke har et automatisk opdateringssystem til at opdatere alt installeret software. OpenOffice har et sikkherhedshul, men hvor mange gider opdatere når det nu virker så godt.
I Ubuntu er OpenOffice blevet opdateret for at lukke makro hullet.
MSOffice har stadig sikkerhedshuller, bare læs http://it.slashdot.org/article.pl?sid=06/07/16/062...

Jeg vil helt klart foretrække OpenOffice, da der bliver fokuseret utrolig meget på projektet, og som andre Open Source produkter er det min erfaring at sikkerhedshullerne bliver rettet utrolig hurtigt. Med Microsoft software bliver det måske/måske ikke rettet. Og specielt powerpoint hullet, har jeg ikke hørt skulle være rettet endnu.
Men bruger man Windows, er det nok en fordel at køre Microsoft Office pga Windowsupdate.
Gravatar #11 - stefan_v
20. jul. 2006 10:58
#5 Nu tror jeg ikke at de skal bruge Office til at skrive breve til deres respektive bedstemødre...

Makroer er faktisk ganske udemærket når man arbejder i Office-programmer. For mig især Excel, hvor en makro lynhurtigt kan klare opgaver, som ellers ville kræve en del tid... Og jeg er i den grad på makro-begynder-niveau :)
Gravatar #12 - Redeeman
20. jul. 2006 11:13
#8:
og rent faktisk er openoffice heller ikke et typisk opensource program. openoffice blev ikke udviklet som opensource, det blev det senere.. og der er ingen der siger at hvis noget er opensource, bliver det 100% automatisk bedre. hvis m$ opensourcede winblows ville det jo heller ikke automatisk blive bedre kvalitet.

men derimod hvis et projekt udvikles fra starten med opensource filosofi, har det vist sig at der bliver udviklet et produkt med højere kvalitet..

desuden så vil at spørge om man vil køre jo ikke hjælpe, og annoncere om at det kan være farligt heller ikke. folk trykker bare enter.

det man kan gøre, er jo bare at lukke for makroer, og så hvis en person ønsker dem, kan den person slå dem til.
Gravatar #13 - iluka
20. jul. 2006 11:35
#12
men derimod hvis et projekt udvikles fra starten med opensource filosofi, har det vist sig at der bliver udviklet et produkt med højere kvalitet..

1) Kilde?
2) Hvordan definerer du kvalitet i softwaresammenhæng?

Der er stor forskel på kvalitet af koden og kvalitet af programmet. Medens koden kan have en række kvalitative egenskaber, f.eks. hvor let det er at udbygge eller ændre den, så er det egenskaber som ikke kommer brugeren ret med til gode. Selve programmets kvalitet (robusthed, kørehastighed, brugervenlighed, sikkerhed, fejlfrihed, features(!) + mange mange flere) er er ting der kommer brugeren til gode. Har opensource bedre brugervenlighed en closed source? Eller måske højere kørehastighed?

Jeg prøver ikke at starte en Open Source vs. Closed Source kaste-med-mudder-diskussion, men det er et temmeligt voldsomt udsagn uden dokumentation.
Gravatar #14 - gensplejs
20. jul. 2006 11:50
#12
men derimod hvis et projekt udvikles fra starten med opensource filosofi, har det vist sig at der bliver udviklet et produkt med højere kvalitet..

Det var da en ganske tåbeligt postulat du kommer med der. Der er mange grunde til at jeg selv går ind for open source. Men det du siger der tror jeg ikke der findes noget belæg for.

#10
For satan. Hvorfor bruger de en gammel version til at teste på?

fordi testen har taget et år og den bliver meningsløs hvis man render og skifter versioner 15 gange i testen.
de har tager MSO vs OO på et givent tidspunkt og så testet dem. Det er muligt at der er sket ting i mellemtiden hos OO men det er der med garanti også hos MSO (office 2007 beta for eksempel).
Gravatar #15 - HashKagen
20. jul. 2006 13:55
Det er jo latterligt! Jeg henviser jer til denne nyhed

Det om det KAN sættes til at køres automatisk er jo alligevel noget de fraråder folk om at gøre. "It's not a bug, it's a feature"

Desuden er dette jo slet ikke noget der kan gøres i Microsoft Office, nej nej, Deres Office pakke er immun.
Gravatar #16 - ztyle
20. jul. 2006 14:03
#12
Du har ikke helt ret, da der også er mange openscource der tager en forkert drejning, fordi der altid vil være nogle som vil gøre skade, og det er det der er faren med at starte et projekt som openscource, og jeg tror at det er derfor at man tit ser at programmerne starter som closed freeware, som det var tilfældet med star office, som så blev til købe(Star) og en openscource(OOo), og måske for at tjene lidt penge :)
Gravatar #17 - Windcape
20. jul. 2006 15:48
hvor MS Office altid spørger brugeren førs


Ja, siden office 2003 er Office blivet irreterende træls, den har simpelhen fået så meget sikkerhed jeg skal igennem 2-3 alert boxes før jeg kan se mit dokument..

Virkelig god undskyldning, de kunne jeg få nogle intellegente brugere istedet for at give softwaren skylden for sikkerhedsfejl.
Gravatar #18 - thj01
20. jul. 2006 15:59
Hvor er dem der sencorerer artikler her på newz - LÆS LIGE OVERKSIRFTEN PÅ ARTIKLEN

OpenOffice.org less secure than Microsoft Office?

læg venligst mærke til det sjove tegn til sidst. sprøgsmålstegnet. Det er et tegn der sætter det forangående udsang til en sandhedstest.

Lt. Col. Filiol notes that the problems are conceptual, rather than due to sloppy coding. "We did not exploit security holes," he said.


det er en konstrueret test der ikke omhandler sikkerhedshuller?????

Hvad f... er det så de undersøger hvis det ikke er sikkerhedshuller. Gad vide hvordan deres sikkerhedsniveau er generelt.

OG

læg mærke til at det er en undersøgelse der har stået på i et år. og der er sket meget udvikling i den tid af både OOO og MSO



denne tråd burde aldrig have været optaget på news med den ovenstående overskrift - den er misvisende i forhold til originalartiklen.

Den artikle latterlig gør det franske forsvars forskere og har ingen faktuel indhold i forhold til OOO (eller MSO for den sags skyld
Gravatar #19 - DUdsen
20. jul. 2006 18:13
#18 jeg vil ikke sige artiklen latterlig gør nogen den er bare for informations tom til at sige noget om noget som helst, vi ved ikke hvad rapportens premisser var og derfor kan vi ikke bruge konklusionen til noget.

IMHO er det store problem at folk vil gøre det til et spørgsmål om hvad der er mest sikkert, hvilket i denne her sammenhæng svarer til at spørge om en åben ladeport er mere sikkert end en åben hangar port, begge systemer er afhængige af at brugerens dømmekraft og viden om sikkerhed er tilstrækelig, de har ikke noget indbygget der ikke kan slås fra.

Et andet problem er at sikkerhed kan betyde sikkerhed og DRM, hvor det sidste er mere til pynt end til beskyttelse imod vira og den slags.
Gravatar #20 - Redeeman
20. jul. 2006 19:56
#13:
kilde: mig.

opensource software er generelt både hurtigere, mere sikkert, og ja, også mere brugervenligt.

#14:
sådan er det bare.
hvis et firma, eller lad os bare tage 50 personer sætter sig i en lagerhal, og skriver 200mb slamkode, og smider det ud til community'er, og siger "hvad synes i?!" og så efter at en masse folk analyserer det, og finder at det er en gang uopretteligt bræk som er fundamentalt forkert designet, selvom det dog virker, på bekostning af stabilitet og sikkerhed.. hvor meget hjælper det så at man kan få god feedback på det? men tager man nu de samme folk, som løbende snakker med flere tusinde over nettet, hvor hele projektet bliver bygget op over et godt solidt design, som bliver designet med hjælp af MANGE peers.. well.. sådan er det bare..

#16:
det du siger er ganske simpelt forkert, hvis jeg starter mit projekt, med en anden person, SKAL vi jo ikke accepterer ændringer fra en masse andre, bare fordi de laver dem, vi giver dem dog retten til det. den ret ville de ikke have hvis det kun var closed freeware, så hvordan påvirker det mit projekt negativt ved at lave det opensource fra starten? INGEN udover members af projektet kan ændre i mit projekt..
Gravatar #21 - Deternal
20. jul. 2006 19:58
Som jeg forstår artiklen, så er der, under ganske særlige omstændigheder, mulighed for at afvikle ikke godkendte makroer uden at man bliver spurgt. Omvendt bliver der også skrevet at det ikke er en sikkerhedsfejl - hvilket ovennævnte fejl ville være, og dermed er artiklen selvmodsigende og ubrugelig.

Hvis OOo virkelig afvikler makro kode automatisk som ikke skulle afvikles automatisk så skal det selvfølgelig rettes. Jeg håber dog ALDRIG de kommer op på MSO's "niveau".

Hvorfor det? Jo i O2K3 med alle opdateringer er det så besværligt at få lov til at køre en makro for den almindelige dødelige bruger (dvs. mit arbejdes "kontormus") at de ikke kan finde ud af det. Det var heller ikke ligefrem intuitivt for undertegnede, men jeg fandt da ud af hvilke indstillinger jeg skulle ændre for at det overhovedet var muligt til sidst.
Gravatar #22 - Pally
20. jul. 2006 20:31
Redeeman

[hvis et firma...skriver 200mb slamkode, og smider det ud til community'er, og siger "hvad synes i?!" og så efter at en masse folk analyserer det... hvor meget hjælper det så at man kan få god feedback på det? ]

Joke eller ej? Jeg er faktisk i tvivl; men i tilfælde af at du (mod forventning) mener det seriøst, så er dét du lirer af situationen set gennem lyserøde briller båret af en fanatisk optimist (har du snakket med sKIDROw for nylig???). Den bitre sandhed er bare, at for hvert populært projekt med et aktivt (og kompetent) community er der 10.000 lorte-projekter som rådner op på SourceForge i total glemsel. Så hvis ikke projektet er interessant, så er svaret du får gabende tavshed.

[hvor hele projektet bliver bygget op over et godt solidt design, som bliver designet med hjælp af MANGE peers]
Hvilket så må cementere, at du joker (eller ikke aner en bønne om software udvikling). Det er fint med mange udviklere, men designet må og skal styres af en lille og kompetent kerne. Og, dét er heldigvis osse præcis sådan det foregår.

[sådan er det bare]
Wow. Nu er det sagt 2 (TO!) gange. Ja, så er jeg pludselig overbevist. Blændende argumentation...

Update: Ovenstående kommentar er af tusinder i community'et omkring Newz.dk identificeret som 'ironi'.

[den ret ville de ikke have hvis det kun var closed freeware, så hvordan påvirker det mit projekt negativt ved at lave det opensource fra starten? INGEN udover members af projektet kan ændre i mit projekt]
Hvis nu projektet viser sig at være bæredygtigt rent kommercielt? Eller er af en type som der kun kan være én (successfuld/interessant) af på markedet?
Gravatar #23 - mat
20. jul. 2006 20:44
#22

Eller er af en type som der kun kan være én (successfuld/interessant) af på markedet?


Hvad er det for en type?
Gravatar #24 - Pally
20. jul. 2006 22:11
Noget fancy der primært beror på en god idé. Kan komme i tanker om nogle stykker:
LinkedIn: en ok idé; men andre af samme type vil udvande konceptet.
Wikipedia: super ide (knap så godt udført); lever primært af at være DET åbne leksikon.
Paypal: smart koncept, hvis gennemslags kraft IMHO består i, at der er så få om buddet.
Gravatar #25 - Redeeman
21. jul. 2006 04:47
#22:
om det er seriøst? gu er det.. bare se på staroffice(openoffice), den situation havde ALDRIG blevet accepteret hvis det var udviklet som opensource fra starten. magen til **** skal man lede langt efter, eller gå til microsoft HQ....

"10.000 lorte-projekter som rådner op på SourceForge i total glemsel."
fordi ejerne af projekterne stopper, og i dette tilfælde er man ALDRIG værre stillet end man var før.

"Så hvis ikke projektet er interessant, så er svaret du får gabende tavshed." så er det man kan sige, hvordan er man dårligere stillet end før?

"Hvilket så må cementere, at du joker (eller ikke aner en bønne om software udvikling). Det er fint med mange udviklere, men designet må og skal styres af en lille og kompetent kerne. Og, dét er heldigvis osse præcis sådan det foregår."
det er rigtigt at det er kerne udviklerne der har ordet, men det ord er i de fleste tilfælde anderledes efter at have diskutteret forskellige ting med andre.

"Wow. Nu er det sagt 2 (TO!) gange. Ja, så er jeg pludselig overbevist. Blændende argumentation..."
hvad er det med folk og kilder? udtalelser, og alt muligt andet bræk, selvom jeg listede en milliard studies foretaget af alle mulige mongoler, kom med 100 links ville det ikke ændre en skid på facts, desuden er mit ord betydeligt bedre end de tosser vi har set på det seneste som laver såkaldte "studies" for at få et par melidenhedshits på deres google adsense..

"Hvis nu projektet viser sig at være bæredygtigt rent kommercielt? Eller er af en type som der kun kan være én (successfuld/interessant) af på markedet?"
virkeligheden er sådan, at opensourcing selv fra kommercielle vendore, kun stadig dem som står i hånden med et lorteprodukt. get real, hvis microsoft pludselig udgav hele windows under QPL, hvad ville der sgu? tror du seriøst på at folk begynder at downloade koden og compile? i think not.
Gravatar #26 - Redeeman
21. jul. 2006 05:15
fejlrettelse til ovenover:
"virkeligheden er sådan, at opensourcing selv fra kommercielle vendore, kun stadig dem som står i hånden med et lorteprodukt." det skulle selvfølgelig være "kun skader dem som"

"hvad ville der sgu?" skal være "hvad ville der ske?"

edit:
hvorfor kan jeg ændre i dette indlæg, men ikke i mit tidligere?!
Gravatar #27 - BurningShadow
21. jul. 2006 06:47
[offtopic]
Jeg savner muligheden for at kunne rate et indlæg "Tåbeligt"...
[/offtopic]
Gravatar #28 - mat
21. jul. 2006 07:10
#24

Det eneste tilfælde jeg kan forestille mig er "det perfekte koncept", og det findes ikke. Alle dine eksempler (3), kan helt sikkert gøres bedre - det er et spørgsmål om fantasi...Det er derfor vi lovpriser fri konkurrence, er det ikke? Der findes ikke "en type der kun kan være én af på markedet".
Gravatar #29 - Hubert
21. jul. 2006 14:12
#25

Hvis man kommer med vilde påstådan såsom du gør må man være klar på at skulle dokumentere det. At du så samtidig med at komme med de sære påstande uden nogen form for dukumentation kommer med barnlige øgenavne hjælper ikke ligefrem på din troværdighed.
Gravatar #30 - Redeeman
21. jul. 2006 22:16
#29:
dokumentation, du mener et eksempel? eller mener du en der har kigget på eksempler, og laver en konklusion? i så fald du mener det sidste, er JEG den person, og det ar jeg smider et link til en eller anden blog entry ændrer intet. hvis du mener det første.. well.. bare se på kode og design kvaliteter imellem stort set alle gnu/linux distributioner og MS windows (bemærk uden "barnlige øgenavne", nu er det jo ligefrem til at tro på, da man ikke laver grin med navnet!).

jeg siger at design er bedre hvis du udvikler fra starten med opensource filosofi. du vil have dokumentation? you got it.

jeg havde her fornyligt en diskussion med en omkring design af windows filstruktur vs gnu/linux distributioner (unix-like), og det endte med at vi fik kigget på et linux system, og et windows system(stadig ingen øgenavne, nu er jeg jo nærmest fact-manden selv.), og der kunne hurtigt konkluderes at designet i det stykke(er) software der er opensource, rent faktisk er det design, hvorimod det lukkede, var en stor pærevending af unavigerlige blobs.
Gravatar #31 - nhslaw
23. jul. 2006 16:16
OpenOffice-teamet har afgivet et svar på den buzz der har været omkring sikkerheden. Det kan læses på: http://www.openoffice.org/security/response_to_def...
Gravatar #32 - Hubert
25. jul. 2006 23:18
#30

dokumentation, du mener et eksempel? eller mener du en der har kigget på eksempler, og laver en konklusion? i så fald du mener det sidste, er JEG den person, og det ar jeg smider et link til en eller anden blog entry ændrer intet. hvis du mener det første.. well.. bare se på kode og design kvaliteter imellem stort set alle gnu/linux distributioner og MS windows (bemærk uden "barnlige øgenavne", nu er det jo ligefrem til at tro på, da man ikke laver grin med navnet!).


Hvis du ikke engang ved hvad dokumentation er kan jeg da sagtens forstå at det ikke er noget du bruger. Det er noget man normalt bruger i en seriøs diskusion. Hvilket du med alt tydelighed også demonstrerer at du heller ikke kan.


jeg siger at design er bedre hvis du udvikler fra starten med opensource filosofi. du vil have dokumentation? you got it.


For at dokumentationen er noget værd at det vigtigt at den kommer fra hvad man kan kalde en troværdig kilde. Her falder du ret voldtsomt ved siden af med din barnlige opførsel.


jeg havde her fornyligt en diskussion med en omkring design af windows filstruktur vs gnu/linux distributioner (unix-like), og det endte med at vi fik kigget på et linux system, og et windows system(stadig ingen øgenavne, nu er jeg jo nærmest fact-manden selv.), og der kunne hurtigt konkluderes at designet i det stykke(er) software der er opensource, rent faktisk er det design, hvorimod det lukkede, var en stor pærevending af unavigerlige blobs.


Jamen kald du bare dig selv for 'fact-manden' jeg ville nu nok kalde dig noget andet.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login