Śledzenie otwierania dokumentów MS Office

Wstęp

Jedną z inspiracji do napisania tego tekstu był niedawny komentarz na Sekuraku.

Zacznijmy od zastanowienia się, jakie cele mogą przyświecać dodawaniu zewnętrznych obrazków do dokumentów. Mogą być prozaiczne: jak zwykła ciekawość czy chęć przeprowadzenia analizy statystycznej (Analytics dla Worda? czemu nie!), ale również może to być zamierzone jako swoiste zastawienie zasadzki.

Wyobraźmy sobie sytuację, w której podejrzewamy, że dokumenty z firmy są wykradane, ale brak nam na to dowodów. Przygotowujemy zatem plik Worda z odniesieniem do zewnętrznego obrazka na naszym serwerze, licząc na to, że włamywacze spróbują otworzyć ten dokument. Jeżeli haczyk zostanie połknięty, otrzymamy cenną informację, że rzeczywiście plik został otwarty, dodatkowo poznając adres IP owego niepożądanego czytelnika.

Całość przykładowego scenariusza prezentujemy na diagramie poniżej:

Scenariusz użycia trackującego obrazka

Jak to zrobić?

1. Microsoft Office

Dodanie odniesienia do zewnętrznego obrazka w pakiecie Office Microsoftu jest bardzo łatwe. Procedura wygląda tak samo w Wordzie, Excelu i PowerPoincie. Screeny zostały zrobione w Wordzie 2007, w innych wersjach poszczególne kroki mogą wyglądać trochę inaczej.

Aby sprawdzić, czy rzeczywiście rysunek zawsze jest pobierany z Internetu, możemy spróbować otworzyć dokument z Wiresharkiem w tle lub, co chyba jeszcze łatwiejsze, odłączyć wcześniej kabel sieciowy. W drugim przypadku zostanie wyświetlona informacja, że plik nie może zostać pobrany.

Istnieje jeszcze alternatywna metoda, działająca wyłącznie w Wordzie.

2. LibreOffice

Sposób postępowania jest podobny, jak w pakiecie firmy z Redmond.

Podobnie jak w przypadku MS Office plik obrazka został dołączony i znów stosujemy metodę odpięcia kabla sieciowego jako weryfikację, że plik rzeczywiście pobierany jest zdalnie. ;-)

Jak się zabezpieczyć?

Znamy już sposoby na dodanie do dokumentu obrazka pobieranego z Internetu. Czy opisane powyżej metody zawsze działają?

W przypadku Office’a: odpowiedź brzmi: nie. Obrazki zdalne nie są wyświetlane, gdy plik zostanie otwarty w trybie chronionym.

Gdy jednak tryb chroniony nie włącza się, jedyną aplikacją z trójki: Word, Excel i PowerPoint, która domyślnie blokuje dołączanie obrazków z zewnętrznych źródeł, jest… ta trzecia.

Czy w pozostałych aplikacjach takie ostrzeżenie też może być wyświetlane? Na stronach Microsoftu znaleźliśmy podstronę poświęconą dołączaniu zewnętrznych źródeł danych (niemniej dotyczy ona wyłącznie programów Excel i PowerPoint), według której domyślnie obrazki zewnętrzne nie są wyświetlane w celu ochrony prywatności użytkownika. Sprawdziliśmy już, że w Excelu nie jest to prawda…

Zajrzeliśmy następnie do wspominanego w pomocy Centrum Zaufania. Jedynie w Excelu znaleźliśmy tam zakładkę Zawartość zewnętrzna. Mimo że z pomocy wynika, że powinna wystąpić również w PowerPoincie – nie widać jej (trochę to zaskakujące, biorąc pod uwagę fakt, że akurat tylko PowerPoint blokował obrazki). Wracając do Excela, Zawartość zewnętrzna nie zawiera żadnych opcji związanych z dołączaniem obrazków, stąd nawet ustawienie obu dostępnych opcji w pozycji Wyłącz… nie zablokowało żadnych zewnętrznych odniesień do obrazków.

Przeprowadziliśmy testy również na Office for Mac 2011. Okazało się, że obrazki zewnętrzne dodawane pierwszą metodą (a więc Połącz z plikiem) w ogóle nie były wyświetlane (it’s not a bug, it’s a feature?), zaś IncludePicture w Wordzie działał, bez możliwości zablokowania.

Jak na tle pakietu Microsoftu wypada jego otwartoźródłowy odpowiednik? Równie słabo. W ustawieniach LibreOffice nie znaleźliśmy żadnych opcji pozwalających jakkolwiek ograniczyć dołączanie obrazków z zewnętrznych lokalizacji. W każdym z testowanych przez nas plików (.docx, .xlsx, .pptx) grafiki były wyświetlane, z wyjątkiem obrazków dodanych metodą IncludePicture (co najpewniej wynika z braku kompatybilności).

Wnioski

W tabelce poniżej przedstawiamy wyniki naszych testów przeprowadzanych na pakietach Office 2007, LibreOffice 4.1.0.4 oraz Office For Mac 2011.

Wyświetlanie zewnętrznych obrazków w zależności od pakietu biurowego i typu pliku.

Podsumowując: PowerPoint jako jedyny ze wszystkich testowanych aplikacji wyświetla ostrzeżenia o dołączaniu plików z zewnętrznych źródeł. W pakiecie MS Office (w wersji co najmniej 2010) jedyną domyślną linią obrony jest szansa, że plik zostanie otwarty w trybie chronionym. W pozostałych przypadkach pakiety biurowe nie umożliwiają blokowania zewnętrznych grafik.

Załączniki

Poniżej udostępniamy do pobrania wygenerowane przez nas pliki. Nie musicie się obawiać, każdy z nich zawiera odwołania jedynie do logo Sekuraka :-). Zachęcamy do testów i uzupełniania naszej tabelki o kolejne wersje programów biurowych, być może w innych wersjach systemu/oprogramowania zachowanie poszczególnych aplikacji będzie różne.

• sekurak.docx
• sekurak2.docx (includepicture)
• sekurak.xlsx
• sekurak.pptx

 —Michał Bentkowski