[Willy_Pinguino]

per attaccare office possono essere usate 2 strade:

sfruttare un bug o una debolezza di qualche file del programma

o

sfruttare qualche bug della sicurezza del codice eseguibile tramite macro


Ora, chi ha fatto anche solo un po' di programmazione in VBA sa che da word o power point o qualunque programma supporti il Visual basic, si può fare qualunque cosa, dal leggere e scrivere direttamente in ram, al leggere bit per bit direttamente dall'hd anche file ipoteticamente cancellati...
questo perchè VB ha accesso diretto a tutte le risorse di sistema...
con il framework .net M$ ha cercato di ingabbiare l'eseguibilità del codice in una specie di "ambiente controllato" ma come tutti i prodotti così vasti (è una cosa M$ quindi deve poter fare tutto, dal leggere il giornale al fare il caffè... altrimenti che senso ha???) e anche per retrocompatibilità, le falle a .net si contano non su una mano ma a centinaia.

Office in pratica diventa il veicolo e l'arma del delitto per di più fornito dalla stessa vittima, il fatto che lo usino le aziende è solo un vantaggio per chi ha intenti fraudolenti e il fatto che M$ non sappia far nulla per bloccare l'origine di questi problemi è sintomo di quanto a M$ stessa non importi nulla...
Cambiano le versioni di office e cambiano i formati dei files che le vecchie versioni non sanno leggere, questo solo per costringere gli utenti a passare alle nuove versioni e sganciare nuovi soldi... ma non cambiano più di tanto le opzioni di sicurezza, così le falle restano e l'uso sempre più comune di office nelle nostre vite ci rende sempre più vulnerabili.

Inutile dire che il closed source è lo scudo che permette a M$ di guadagnare un sacco di soldi, ma che copre anche tutte le falle di cui approfittano i "programmatori maligni".

Provate a pensarci un attimo... M$ fa .net e siamo alla versione 2 con la beta della 3...
il mondo open source produce MONO che non è ancora stabilmente alla versione 2, che è compatibile con il codice .net versione 1.1 e qualche cosa in più, ma guarda caso il codice maligno non ha spazio per essere eseguito... scommettiamo che anche openoffice quando permetterà l'esecuzione di codice VB e .net non sarà vulnerabile come M$ Office???