ActiveX ancora un problema per gli utenti di IE?

Sebbene i sistemi basati su Windows Vista siano esposti in misura molto minore ad attacchi ed infezioni rispetto alle precedenti versioni di Windows, gli ActiveX continuerebbero a rappresentare un problema per Microsoft.
Stando a quanto dichiarato dall’azienda di Redmond, nel semestre Gennaio-Giugno di quest’anno, apparirebbe evidente come tanti attacchi abbiano sfruttato vulnerabilità presenti nei controlli ActiveX sviluppati da terze parti.

ActiveX è una tecnologia Microsoft per lo sviluppo di componenti riutilizzabili in diverse applicazioni. Vengono ampiamente sfruttati in Internet per dotare il client (il personal computer che visita un certo sito web) di funzionalità atte a rendere possibile la visualizzazione di contenuti particolari, l’utilizzo di funzionalità evolute non incluse in Internet Explorer, una maggiore interoperatività tra client e server.

George Stathakopoulos, Microsoft, ha difeso la tecnologia ActiveX osservando però come sia di fatto impossibile per il colosso fondato da Bill Gates controllare la “bontà” dei vari componenti per il browser.

Buoni passi in avanti sono stati compiuti con il rilascio di Internet Explorer 7 che provvede a bloccare, in modo predefinito, molti ActiveX richiedendo all’utente un’autorizzazione esplicita per consentirne l’esecuzione.

Symantec, già negli scorsi mesi, aveva commentato come il lancio di Internet Explorer 7, avvenuto nel 2006, non avrebbe fatto registrare un marcato mutamento, in positivo, dello scenario relativo alle vulnerabilità dei controlli ActiveX.

Microsoft stessa, nel corso di diversi “patch day” mensili, è stata costretta a rilasciare un aggiornamento per scongiurare eventuali attacchi rivolti nei confronti di componenti ActiveX sviluppati da terze parti. Gli aggiornamenti di solito impostano esclusivamente dei “kill bit”.
Si chiama “kill bit” una speciale funzionalità di protezione che consente di impedire il caricamento di un controllo ActiveX da parte del motore di rendering HTML di Internet Explorer. Per questo scopo, viene introdotto, nel registro di Windows, un apposito valore. Se il “kill bit” è attivo, il controllo non può essere caricato, anche se è installato sul sistema in uso. L’impostazione del kill bit garantisce che, anche se nel sistema viene installato o reinstallato un componente affetto dalla vulnerabilità, quest’ultimo rimane inattivo e, pertanto, del tutto innocuo. Gli aggiornamenti di Microsoft che aggiungono “kill bit” al registro di Windows fanno sì che il caricamento di un ActiveX vulnerabile di terze parti venga impedito.