Ниже приводится полный текст письма, присланного Иваном Пашкевичем из российского Microsoft в ответ на публикацию ВИ от 29 декабря 1997 года. Публикация была посвящена угрозе использования команд HTML в тексте сообщений электронной почты. В статье называлось две опасности, связанных с автоматической загрузкой удаленного ресурса при попытке прочитать сообщение электронной почты:
  1. Redirect в теле почтового сообщения позволяет спаммеру заманивать всех адресатов массовой рассылки на свою страницу WWW.
  2. Redirect позволяет заманить пользователя на потенциально опасную страницу

Дополнительная возможность вредительского использования HTML-возможностей почтовых клиентов - связанная с включением в текст письма удаленных графических элементов повышенной тяжести командой IMG SRC - в заметке не рассматривалась.

Автор письма, приводимого ниже, сосредоточил основное внимание на тех опасностях, которые связаны с использованием в теле письма инструкций redirect на потенциально вредоносную страницу. Угрозы спама и искусственной перегрузки канала графическими элементами в письме, к сожалению, не рассматриваются.

From: Ivan Pashkevich <ivanpa@microsoft.com>
To: Mike Edemsky <edemsky@iworld.dol.ru>; <anton@cityline.ru>
Cc: <am@amsoft.ru>
Subject: RE: oulook express virus
Date: 13 января 1998 г. 17:49

Уважаемые господа!

При решении проблем безопасности каждый должен для себя сам определять, где лежит грань между безопасностью и удобством, поскольку это диалектические противоположности. Очевидно, что чем удобнее работать, тем опаснее и наоборот. Все, что написано далее, касается Microsoft Internet Explorer 4 и представляет собой ответ на статью в "Вечернем Интернете"
http://www.cityline.ru/vi/29dec1997.htm

Теперь поговорим о:

  • возможности выполнения скриптов на web-странице, в письме электронной почты
  • возможности несанкционированного выполнения программных элементов на web-странице, в письме электронной почты
  • возможности автоматического перехода на другую страницу (где, возможно, находится вредоносный скрипт или программный элемент)
Рассмотрим случай расположения вредоносного скрипта или элемента на какой-то web-странице.

Пользователь получает ссылку на эту страницу в письме, которую может и не нажимать. А может и нажать. Но желание или нежелание пользователя нажать на ссылку не может служить мерой безопасности системы. В крайнем случае это желание может зависеть от внезапно возникшего на экране вопроса "вы действительно хотите туда пойти?" и т. п. В этом случае уже можно говорить о минимальной защите, если же программа никак не влияет на желание пользователя, то никакой защиты и нет. Однако, чтобы влиять на желания пользователя, программа должна с большой вероятностью предполагать, что на странице действительно вредоносный элемент. В общем случае совершенно безразлично, находится в письме ссылка на "плохую" страницу или автоматическое перенаправление (refresh meta tag) на нее. Разница состоит только в вероятности выполнения этого "плохого" элемента, т. е. вероятности негативного воздействия на систему. С точки зрения обеспечения безопасности большой разницы нет.

Система должна быть сконфигурирована так, чтобы минимизировать риск при переходе на неизвестную страницу. Для этого применяется механизм зон безопасности

http://www.microsoft.com/ie/ie40/features/sec-zones.htm

http://www.microsoft.com/ie_intl/ru/ie40/features/ie-security.htm

Конфигурирует систему либо сам пользователь, либо администратор сети с помощью Internet Explorer Administration kit (IEAK https://ieak.microsoft.com). Конфигурирует так, чтобы неподписанные программные элементы из зоны "Интернет" не выполнялись, а перед выполнением подписанных элементов пользователя спрашивали, действительно ли необходимо их выполнять (так установлено по умолчанию). Если администратор еще больше хочет ужесточить нормы поведения, то он с помощью IEAK может вообще запретить выполнение каких бы то ни было программных элементов из зоны "Интернет".
То же самое касается и скриптов (для зоны "Интернет" по умолчанию скрипты выполняются).

Итак, вероятность следования пользователем по ссылке не имеет значения. Поэтому, очевидно, что при попадании на опасную страницу защищенность компьютера целиком и полностью зависит от конфигурации зон безопасности. Значит, если в письме находится ссылка (или там используется автоматическое перенаправление), то полагаться надо именно на конфигурацию зон безопасности. C этой точки зрения совершенно все равно используется там ссылка или перенаправление.

Рассмотрим случай, когда вредоносный скрипт находится в самом письме. Механизм точно такой же - использование зон безопасности (http://www.microsoft.com/ie/ie40/oe/seczones.htm), однако, если в случае с Web-серверами зона определяется автоматически при посещении каждой страницы, то в случае с почтой зона всегда одна (по умолчанию - зона "Интернет", где выполнение неподписанных программных элементов запрещено, перед выполнением подписанных элементов и скриптов пользователя спрашивают, действительно надо ли их выполнять). Администратор может переопределить поведение программы для любых объектов с помощью IEAK и создать совственные установки для зон безопасности.

Мы пришли к следующему: при правильном конфигурировании зон безопасности проблема может состоять лишь в том, что пользователя автоматически перенаправят на какой-то сервер (например, с небезопасным содержимым), но это содержимое выполнятся не будет. У администратора (пользователя) всегда остается полный контроль над содержимым (выполнять его или нет).

И вот здесь проблема перетекает в более широкую область: а способен ли современный пользователь / администратор так сконфигурировать свое ПО, чтобы при максимальном удобстве работы получить минимальный риск? И действительно ли программные продукты (в том числе Microsoft) дают ему гибкость, а не являются потенциально опасными (опять же из-за неспособности / незнания пользователя)? И нужны ли пользователю эти гибкость, удобство?

Господа, вот дальше уже можно спорить. Я считаю, что все нормально, что пользователь способен управляться с такими продуктами. Однако, пользователь бывает очень разный, и вот тут дело ISP, прессы, общественности (то, что называется Internet community) помогать новичкам. Мне кажется, что Internet Explorer максимально приспособлен к тому, чтобы на нем учились работать в Интернете, а с другой стороны предоставляет расширенные возможности "продвинутым" пользователям.

Всего хорошего,

----------------------
Ivan Pashkevitch
Internet Product Marketing Specialist - Microsoft Moscow

Текущая заметка Вечернего Интернета