Katastrofen med LoveLetter-ormen fikk Microsoft til endelig å meisle ut en sikkerhetspakke til Outlook. Skadeormer som sprer seg ved å sende seg selv automatisk til alle i offerets Outlook-adresseliste har plaget brukere i to år. LoveLetter fikk Microsoft til å våkne. Det burde holdt med Melissa.
Den nye sikkerhetspakken er blitt noe forsinket, men Microsoft regner med at den skal være i klar i løpet av natten. Det er en annen og langt mer omfattende pakke enn den som pekes på i Harald Brombachs artikkel Microsoft forbedrer sikkerheten i Outlook fra 12. mai. Denne oppgraderingen gir Outlook en egenskap som blant andre Qualcomms konkurrerende e-postklient Eudora har hatt lenge, at du varsles når et vedlegg kan tenkes å inneholde eksekverbar kode. (Forskjellen er at Eudoras varsling kan slås av og på gjennom en dialogboks, mens oppgraderingen til Outlook blir til en "ikke-avinstallerbar del av operativsystemet".)
Den kommende sikkerhetspakken for Outlook er beskrevet i detalj på Microsofts nettsted (det er en direkte henvisning fra forsiden til Microsoft.com). En av de viktigste advarslene er at du må studere beskrivelsen før du bestemmer deg for å installere sikkerhetspakken. Pakken integrerer seg med hele Outlook-installasjonen, og lar seg ikke avinstallere for seg. Angrer du, må du reinstallere ikke bare Outlook, men også hele Office-pakken.
Tankegangen bak sikkerhetspakken er tydeligvis preget av at brukerne bare skal få valget mellom alt eller intet. Microsoft svikter et av sine hovedprinsipper, at brukeren skal gis anledning til selv å tilrettelegge sine verktøy.
Sikkerhetspakken inneholder to viktige moduler. Den ene har som mål å hindre deg fra å åpne vedlegg som erfaringsmessig kan inneholde ondsinnet kode. Den andre har som mål å hindre ondsinnede vedlegg fra å bruke Outlook-adresselisten til å spre seg til andre.
Vernet mot ondsinnede vedlegg klassifiserer innkommende vedlegg i to kategorier, avhengig av etternavnet på filen. Zip-filer, altså filer som består av komprimerte pakker av en eller flere filer, plasseres i kategori 2. Sikkerhetspakken får vedlegg av denne typen til å utløse en varsel om at filpakken kan inneholde skadelig kode. Bruker eller nettadministrator har anledning til å redigere denne listen, etter en oppskrift som krever direkte redigering av bestemte filer.
Vedlegg med eksekverbare filer plasseres i kategori 1. Her gir sikkerhetspakken en melding om at "Outlook har fjernet tilgangen til følgende usikre vedlegg...", og filene er overhodet ikke tilgjengelig. Du får ikke lov til å bestemme hvorvidt du vil lagre filene og undersøke dem med en virusskanner eller en teksteditor. Filene slettes, kort og godt.
Tilhørende kategori 1 har Microsoft foreløpig spesifisert 37 ulike filtyper. Lista inneholder ikke bare filtyper som exe, bat, cmd, com, js, jse (de to siste er Javascript), vb, vbe og vbs (de tre siste er Visual Basic-skript, altså den typen som LoveLetter tilhører). Her er også hlp (Windows hjelpfil), pcd (Photo CD), scr (skjermsparer) og url (nettadresse).
Det gis ingen mulighet til selv å redigere listen over filer i kategori 1. Det gis heller ingen mulighet til å spesifisere forhold der kategori 1-filer unntaksvis kan behandles som kategori 2, det vil si utløse en advarsel i stedet for å slettes.
Vernet mot spredning av ondsinnede vedlegg består av et varsel når et annet program enn Outlook prøver å aksessere adresselisten til Outlook. Varselet gir deg anledning til å nekte det andre program tilgang, eventuelt innvilge denne tilgangen for inntil ti minutter. Microsoft advarer at denne egenskapen kan gi problemer når Outlook benyttes i forbindelse med programvare fra tredjepart. Det oppgis en liste over hvilke applikasjoner som kan få problemer.
_logo.svg.png){kind=logo}
Vedleggsvernet og spredningsvernet er integrert. Du får ikke det ene uten det andre.
Bakgrunnen for denne alt eller intet-løsningen er ifølge Microsoft et krav fra flere store kunder at man ikke ville la brukere lagre mulig ondsinnet kode lokalt. Derfor er valget blitt sikkerhet eller ikke sikkerhet. Pakken som nøyer seg med en advarsel når e-posten inneholder et vedlegg med eksekverbar kode, er fortsatt tilgjengelig, men nevnes ikke på sidene som omtaler den mer omfattende sikkerhetspakken. Om denne heter det dessuten: "Microsoft anbefaler at alle brukere av Outlook 98 og Outlook 2000 installerer denne oppgraderingen for økt sikkerhet i Outlook."
Jeg tror mange vil kvie seg mot å overgi kontrollen over innkommende e-post til denne pakken. Jeg vil oppfordre Microsoft til å gi brukerne større muligheter til å fininnstille sikkerheten, blant annet ved å kunne redigere listene i de to kategoriene for mistenksomme vedlegg. Hvis argumentet er at innkommende vedlegg vil kunne manipulere lokalt lagrede lister, bør det være mulig å unngå dette ved en form for kryptering.
Microsoft har vært kritisert for å ofre sikkerheten på brukervennlighetens alter. Den varslede sikkerhetspakken for Outlook viser det motsatte, at selskapet også er tilbøyelig til å ofre brukervennligheten på sikkerhetens alter.
Men det er vel bare manglende fantasi som gjør at brukerne ikke kan få i pose og sekk?
