Wie sicher ist OpenOffice?

Im Rahmen der Black-Hat-Konferenz im April in Amsterdam hatten die ESIEA-Mitarbeiter Eric Filiol und Jean-Paul Fizaine auf rund 70 Seiten (PDF) Sicherheitslücken in Open Office 3.x beschrieben. Als Anlass nennen die Autoren die Open-Office-Neuauflage im Oktober 2008 sowie die Zunahme an Schadprogrammen für Büroanwendungen. Wegen der zunehmenden Verbreitung freier Software sei anzunehmen, dass auch hier Makro-Viren eine größere Rolle spielen könnten. Als Bedrohungsszenario für ihre Untersuchung gingen sie von einem Python-Virus aus.

Der Sun-Mitarbeiter und Open-Office-Entwickler Timmermann adressiert die Kritikpunkte systematisch in einem langen Blogeintrag, ebenso wie das Ursprungsdokument in sechs Kapitel gegliedert. Kapitel zwei beispielsweise beschäftigt sich speziell mit den Sicherheitseigenschaften des offenen Dokumentstandard ODF. In ihrem Papier weisen die Franzosen darauf hin, dass die ODF-Dateien Zip-Container nutzen. Timmermann schreibt: „Es gibt viele Hinweise, wie man beweisen kann, dass ODF-Dateien Zip-Container nutzen - keiner hat je gesagt, dass das nicht so sei.“ Den Sun-Entwickler stören die Zwischentöne: „Im Kontext von diesem Papier hört sich das so an also ob dies ein Tool werden könnte, mit dem man bösartige Dinge anstellen kann - ODF-Dokumente manipulieren, zum Beispiel. Tatsächlich ist der ganze Sinn und Zweck eines offenen Standards, dass verschiedene Tools ihn nutzen können.“

In einem anderen Punkt teilt Timmermann die Einschätzung der Security-Experten: Die Gefährlichkeit von Makros. „Klar: Der Sinn von Makros ist, dass Makro-Autoren mächtige Aktionen ausführen können. Gute Aktionen ebenso wie bösartige Aktionen. Und es spielt keine Rolle, welches Tool ich nutze, um sie zu schreiben.“

Er rät deshalb insgesamt zur Vorsicht: „Die Leute sollten nie Makros laufen lassen, wenn sie nicht sicher sind, dass sie ihnen trauen können.“ In seiner Replik stimmt der Entwickler ansonsten selten mit der Kritik überein, stattdessen widerlegt er zahlreiche Argumente und verweist auf Eigenheiten des ODF-Formats sowie bereits vollzogene Verbesserungen an Open Office. Einige der Mängelpunke aus dem ESIEA-Papiers hatte der Entwickler bereits im August 2006 kommentiert, so beispielsweise die vermeintlichen GUI-Manipulationen und Malware in Signaturen.

Insgesamt ist der Sun-Mitarbeiter der Meinung, dass Open-Office sicherheitstechnisch besser da steht als in dem Dokument dargestellt, und er schreibt „(...) mit OOo 3.2 sollten noch einige weitere Verbesserungen kommen.“ Den Vorschlag der Franzosen zu einer eigenen Security-Version, „Trusted OOo“, beurteilt er skeptisch: „Die Idee (...) ist interessant, würde aber bedeuten, das man eine Insellösung schafft. Diese spezielle Version würde jedes Mal warnen, wenn man ein Dokument lädt, das mit Standard-OOo oder einer anderen ODF-Applikation geschrieben/verändert wurde.“ Den Vorschlag, bestimmte Codeteile von OOo aus Sicherheitsgründen zu schließen, beantwortet er abschlägig: „Neben der Tatsache, dass dies keine Option ist, würde proprietäre Software Angriffe zwar schwieriger machen, aber nicht unmöglich.“