Ілюстрований самовчитель з налаштування Office 2003 › Безпека Office 2003 › Елементи
Елементи керування ActiveX та безпека Office
Елементи керування Microsoft® ActiveX® в деяких випадках можуть становити загрозу безпеці, оскільки з їх допомогою може поширюватися шкідливий код або віруси (особливо в тих випадках, коли на комп'ютері не налаштовані всі необхідні параметри безпеки).
Наприклад, якщо з веб-сторінки завантажується непідписаний елемент керування ActiveX, і при цьому на комп'ютері не встановлений рівень безпеки браузера Microsoft Internet ExplorerВисока (High) абоСередня (Medium), елемент ActiveX запуститься без попередження. Якщо цей елемент містить вірус або інший шкідливий код, роботу операційної системи може бути порушено, а дані, що містяться на комп'ютері, можуть бути пошкоджені.
У цій статті міститься інформація про те, що являють собою елементи керування ActiveX, а також про те, як уникнути проблем, пов'язаних із встановленням та використанням неперевірених елементів керування.
Що являє собою елемент керування ActiveX
Фактично елемент керування ActiveX є OLE- чи COM-объектом. Елемент ActiveX – це програма, яка автоматично реєструється у системному реєстрі під час першого запуску.
Елемент керування ActiveX може бути як простим (наприклад текстове поле), так і досить складним (наприклад, представляти собою ряд діалогових вікон). У деяких випадках елемент ActiveX за складністю можна порівняти з невеликою програмою. Модулі ActiveX використовуються як елементи управління на веб-сторінках, як надбудови, що розробляються сторонніми виробниками для великих додатків, а також як модулі (plug-ins). З цієї точки зору елементи керування ActiveX аналогічні Java-додаткам, модулям Netscape, що підключаються, і виконуваним сценаріям. Однак перевага ActiveX в порівнянні з іншими можливостями програмування полягає в тому, що елементи керування ActiveX можуть використовуватися в програмах, написаних різними мовами, включаючи всі мови, призначені для програмування баз даних Microsoft та управління ними.
Елементи керування ActiveX не є самостійними рішеннями. Вони можуть бути запущені лише з батьківських програм, таких як браузер Internet Explorer, Microsoft Visual Basic®, середовище розробки Visual C++® або Visual Basic for Applications і так далі. Модулі ActiveX полегшують поширення спеціалізованих елементів керування через мережу та інтеграцію цих елементів у браузери веб-сторінок. Елементи керування ActiveX можуть надавати інформацію про програми, в яких вони використовуються.
Параметри безпеки, пов'язані з ініціалізацією елементів ActiveX
На сторінціSpecify Office Security Settings програм Custom Installation Wizard та Custom Maintenance Wizard доступні чотири рівні безпеки для елементів керування ActiveX:
- Do not configure
MST- або CMW-файл не змінює параметри безпеки, налаштовані на комп'ютері користувача. Нові програми встановлюються за рівнем безпеки за промовчаннямPrompt user to use persisted data.
- Prompt user to use control defaults
Перед ініціалізацією елемента ActiveX користувач отримує попередження, що виконання коду такого елемента може бути небезпечним. Якщо користувач довіряє джерелу документа та підтверджує це,елемент ActiveX ініціалізується з параметрами за промовчанням, які відключають для елемента ActiveX можливість використання та збереження постійних даних. Це призводить до того, що елемент керування завжди запускається з параметрами за замовчуванням, тим самим знижуючи можливість виникнення проблем, пов'язаних з помилковими налаштуваннями комп'ютера або навмисним проведенням атак. Якщо задано цей рівень безпеки, під час запуску елемента ActiveX користувачеві видається попередження, але воно може бути проігноровано.
- Prompt user to use persisted data
Перед ініціалізацією елемента ActiveX користувач отримує попередження, що виконання коду такого елемента може бути небезпечним. Якщо користувач довіряє джерелу документа та підтверджує це, елемент ActiveX ініціалізується, використовуючи пов'язані з ним дані, збережені раніше. Якщо заданий рівень безпеки, під час використання елемента ActiveX існує можливість проникнення вірусів у систему.
- Do not prompt
Елемент ActiveX може запускатися з стандартною конфігурацією. Якщо встановлено цей рівень безпеки, елемент ActiveX може використовувати дані, збережені в попередніх сеансах, а користувач не отримує жодних повідомлень або попереджень.
Використання адміністраторами цих параметрів безпеки у майстрі Custom Installation Wizard або Custom Maintenance Wizard забезпечує додатковий контроль за виконанням потенційно небезпечного коду елементів ActiveX на клієнтських комп'ютерах. Для отримання додаткової інформації про записи в реєстрі, що стосуються розглянутих параметрів безпеки, зверніться до статті Як працюють системні політики на веб-сторінціOffice 2003 Resource Kit.