Войти

Microsoft отключит все загружаемые макросы Excel, Word и других приложений Office

Это делается ради безопасности

Компания Microsoft объявила о значительном изменении политики безопасности. Вскоре макросы VBA (Visual basic for Applications) в документах пяти самых популярных приложений Office начнут по умолчанию блокироваться.

Microsoft отключит все загружаемые макросы Excel, Word и других приложений Office

Пользователи больше не смогут запускать какие-либо макросы VBA в Microsoft Word, Excel, Access, PowerPoint и Visio для «ненадёжных» документов — загружаемых из Интернета и содержащих макросы. Таким образом, пользователи Office больше не смогут включать определённый контент простым нажатием кнопки.

Все файлы, к которым предоставлен общий доступ из-за пределов корпоративной сети, будут считаться «ненадёжными». В то же время все файлы, поступающие из одного и того же домена, должны по-прежнему иметь возможность работать с макросами.

Изменение вступит в силу в начале апреля 2022 года с выходом превью Microsoft Office версии 2203.

Подобный шаг предпринимается ради безопасности как корпоративных, так и простых пользователей Office — хакеры годами атакуют пользователей Office с помощью вредоносных макросов. Ранее Microsoft выводила предупреждение, но это не слишком помогло. Теперь вместо предупреждения появится баннер угрозы безопасности со ссылкой на статью службы поддержки Microsoft, в котором не предлагается простого способа активировать макрос.

8 февраля 2022 в 18:15

Автор: VerKo

| Теги: Office, Microsoft

| Источник: TechRadar, TheVerge

Samsung Galaxy S22 Ultra позирует в руках на живых фото перед завтрашним анонсом

Уровень цифровой культуры в России растёт быстрее, чем по всему миру

64 комментария

Мелкомягкие строго следуют своему курсу — с каждой новой версией, меньше функционала и более дебильный интерфейс…

Ответить

Ага, «сперва добейся». Знаем, знаем.
А футболистов и правительство не критикуете?

Ответить

Можно для начало вместо работы над дизайном работать над безопасностью. Проблемы с макросами были с самого начала, за это время выпустили кучу версии, поменяли даже формат файлов в 2007 и вот уже 2022 и самое лучшее решение какое нашли это все заблокировать… Если бы это было в 2012 (спустя 5 лет после замены формата) еще было бы понятно, не все допилили в 2007, что-то упустили… но после 15 лет имея код при себе, огромный штат сотрудников и чуть ди не миллион бета тестеров как-то выглядит не хорошо.
На запуск в облоко и замену лицензирования нашли и время и ресурсы а на безопасность уже нет… жаль…

Ответить

Вангую, что они что-то такое сделают для проверки, но оно будет обязательно облачное по подписке. Потому, что если бы хотели что-то там защищать, то открывали бы каждый файл с макросами в отдельной виртуальной оболочке, да ещё с гостевыми правами в файловой системе, что решило бы 99% проблем.

Ответить

Критикуя критиков — подумай, а будет ли твоя критика критиков более критична?
Предлагая предложения — задумайся, а будет ли уместно твоё предложение?
Делая дела — просто делай свои дела, а не указывай как лучше другим сделать то что они делают.
К чему бы всё это? Да к тому что пользователь может высказать своё мнение о продукте которым пользуется, и при этом не обязан быть программером и что-то там разрабатывать. А то складывается такое впечатление что вы Билл Гейтс, а человек написавший пост, ваш работник. К чему было это ваше высказывание, х.з.

Ответить

Ответ Vlad__1 на комментарий

Мелкомягкие строго следуют своему курсу — с каждой новой версией, меньше функционала и более дебильный интерфейс…

Интерфейс — да, тоже терпеть его не могу. А функционал-то тут при чем? Элементарная безопасность, нормально придумали. У меня вообще прием и отправка писем с макросами заблокирована, отлично себя чувствую :)

Ответить

И пользователи по-прежнему будут «на автомате» разрешать…

Ответить

«в котором не предлагается простого способа активировать макрос»

Ответить

Вэлком очередная проблема, которую всем пользователям придется гуглить, вбивать найденные ключи реестра, приходить в ярость когда после следующего обновления эти ключи перестанут работать и т.д.

Ответить

Реестр не поможет скорее всего.
Надо будет использовать утилиту, которая снимает признак того, что файл скачали из инета.

Ответить

ПКМ на файле, Разблокировать

Ответить

в самом файле

Ответить

Значит никак. Но в общем случае видимо должна быть запись о домене, в котором он создан. Но это лишь предположение.

Ответить

Не читатель? Где файл создается, там и используется с макросами, вписать инфу о домене при сохранении, и считать при открытии, вообще не сложно. Это просто еще одна строчка служебных данных, которых в любом файле от офиса 100500

Ответить

Я не знаю где именно в файле происходит запись об этом. Какой формат записи, какие утилиты для работы с этой записью. Какие механизмы её защиты.
Собственно об этом и написал.
Если у вас есть нечто полезное и информативное для всех — напишите.

Ответить

А зачем пользователю об этом знать?

Ответить

Но мы же не на сайте для блондинок всё же?

Ответить

на уровне файловой системы, давным-давно.
плюс можно подписи использовать, как у всех программ (т.е. разрешать исполнение только при наличии соответствующего действующего сертификата)

Ответить

По опыту взаимодействия с «эффективными менеджерами» это приведет лишь к тому, что у всех (условно/утрируя), где жестко не выставлено политиками, значение параметра будет отключено «чтоб не отвлекало»
А так, нужно еще будет посмотреть на содержимое за «learn more»

Ответить

Как быстро развивается MS Office! Уже и 2203-я версия на подходе…

Ответить

Это скорее деградация а не развитие.

Ответить

о будущем парни думают, о будущем!!!

Ответить

Если Офис отменит макросы — тогда он пойдёт лесом — ибо альтернативы убоги, но новый Офис тоже не ахти и верной дорогой деградирует, как и Вин 11.

Ответить

ну, инс-функционал у него хорош (в экзеле).
но в целом да – я даже 2007-ой кое где использую ))

Ответить

Веселят меня критики, люди, которые сами ничего сложного не сделали, но критикуют круглосуточно 8)

Ответить

Я сделал дохрена сложного и считаю что офис скатывается в говно. Он не развивается в нужных для энтерпрайза местах, таких как серверная автоматизация и меняется там где это нахрен никому не сдалось.

Ответить

Что сравнимого с экосистемой MS ты сделал?

Ответить

Вам тоже сюда: lurkmore.to/Сперва_добейся

Ответить

Я в теме лурка и данной статьи уже туеву хучу лет. По теме то есть что сказать?
Факт то остается фактом, критиканы сидящие тут, в основной своей массе никуя сложного никогда не делали, и не знают, насколько сложно создать и вести сложные проекты.

Ответить

Ответ ArguleonVec на комментарий

По теме то есть что сказать?

Так ты сам пишешь не по теме.
Тема статьи и последующего обсуждения — криворукость производителя софта, отсутствие нормальных решений наболевших проблем.
Ты же все свел к тому, что если мы ни разу в жизни не делали своими руками колбасу, то не смеем утверждать, что она протухла.

Ответить

Ответ ArguleonVec на комментарий

Что сравнимого с экосистемой MS ты сделал?

А кто вообще в мире сделал что-то сравнимое с с экосистемой MS? Вот так чтобы своими руками в одиночку? Можно парочку фамилий?)

Ответить

Папа и мама Гейтс, очевидно же.

Ответить

Ну, там не столько руками конечно… :)

Ответить

В одиночку не сделаешь, но людей участвующих в сложных проектах 100500. А так, Линус торвальдс, например. Тот же Дуров, Цукерберг.

Ответить

А вы через астрал узнали кто тут чего сделал или не сделал?

Ответить

В Microsoft наняли адекватного сотрудника?

Ответить

Все таки вы ещё не достаточно трезвы :)

Ответить

Сделать запрет макросов легче, чем проработать принципиальный запрет на запуск всякого вредоносного кода для них. Просто убрать некоторые явно проблемные команды. Конечно, лучший вариант — это обеспечить запуск макроса в песочнице, чтобы менялись данные только активного документа… да возможность отмены изменений после запуска.

Ответить

Там вся соль макросов в том, что они не только по данным документа могут лазать… запихнуть их в песочницу — значит угробить 95 проц действительно нужных макросов. Ну ниче, будут значит люди на старых версиях офиса сидеть, в какой-то момент перелезут на альтернативу. А может, к тому моменту, офис как класс по сам по себе устареет.

Ответить

Ответ 116588401742908718992@google на комментарий

Там вся соль макросов в том, что они не только по данным документа могут лазать… запихнуть их в песочницу — значит угробить 95 проц действительно нужных макросов.

Ну вот мне не практически нужны макросы, которые лазают в другие документы. Иногда мне от макроса нужно просто клетки на листе Экселя в разные цвета раскрасить. И меня бы отлично устроило, если бы неподписанные макросы из ненадежных источников имели бы право работать с данным документом, а разрешение требовалось на доступ за пределы документа. Может быть, не всем бы это подошло, но для многих проблема бы решилась. Зачем блокировать макросы вообще, целиком и полностью?

Ответить

Как ты себе это представляешь? Блокировку именно части кода? Это сложно, и ненужно.

Ответить

Представляю как отключение некоторых функций. Open File, Open Document, может быть, еще парочки. В защищенном режиме эти функции вызывают исключение, остальные работают.

Ответить

Вы вероятно макросы всерьез не писали. Там половина всего интересного делается через CreateComObject как минимум

Ответить

Я же написал, «95 проц действительно нужных»))) Кастрированные макросы в опен офисе есть, ими никто не пользуется.
P. s. клетки на листе экселя в подавляющем большинстве случаев намного проще раскрашивать функцией

Ответить

Ответ 116588401742908718992@google на комментарий

Вы вероятно макросы всерьез не писали. Там половина всего интересного делается через CreateComObject как минимум

Нет, макросы всерьез я не писал. Но несерьезных для нужных мне целей вполне достаточно. Так что, если бы не все макросы отключили, а несерьезные оставили, то как минимум на одного недовольного пользователя (меня) было бы меньше :)

Ответ 116588401742908718992@google на комментарий

Я же написал, «95 проц действительно нужных»))) Кастрированные макросы в опен офисе есть, ими никто не пользуется.

Я с удовольствием пользуюсь макросами опен офиса и их мне тоже вполне хватает. Плохо только то, что они несовместимы с майкрософтовскими. Причем практически все сводится к замене одних слов на другие — словарный запас аналогичный — просто зачем-то слова в OpenOffice выбрали другие. ThisComponent вместо ActiveWorkbook, Sheets вместо Worksheets и так далее. Не знаю, может быть, у MS какой-то патент был на конкретные идентификаторы.

Ответ 116588401742908718992@google на комментарий

P. s. клетки на листе экселя в подавляющем большинстве случаев намного проще раскрашивать функцией

Мне проще макросом. Иногда я делаю сложный парсинг текста в ячейке и крашу в зависимости от результата. Может быть, для этого можно соорудить функцию, но я привык мыслить как программист, мне проще несколько строк кода написать.

Ответить

Там еще и сам язык программирования другой. Питон вроде, а в офисе vba (visual basic for applicationss). Они чуточку отличаются примерно всем

Ответить

Ответ 116588401742908718992@google на комментарий

Там еще и сам язык программирования другой. Питон вроде, а в офисе vba (visual basic for applicationss). Они чуточку отличаются примерно всем

OpenOffice Basic

Ответить

а что мешает погружать динамические данные в песочницу?

Ответить

Какие именно? Макросы в офисе имею дрступ ко всем COM+ обектам винды, диску, интерфейсу ввода-вывода и пр. Вам придется виртуальную винду поднимать под каждый сложный макрос, чтобы это просто все выполнилось без ошибок на этапе интерпретатора, и все равно это в конечном счете раьотать не будет, потому как они вообще-то для коммуникации офиса со всем остальным и делались))

Ответить

это скорее исключительные случаи.
обычно, нужны такие вещи как подгрузка данных (например курсов валют или данных измерений) с сайта либо сетевой бд.
такие вещи без проблем решаются в виртуалке и даже в случае компроментации источника загружаемых данных – все приключения заканчиваются в изолированном контейнере. (ну, ок, не совсем все – зависит от настроек контейнера и дыр в оболочке. но абсолютное большинство заканчивается ))
т.е. это вопрос грамотной организации процессов, в первую очередь.
я ещё понимаю проблемы домашнего пользователя, которому в одну харю надо возиться со всеми этими политиками и сложными ФС (в сравнении со старым-добрым «простым» фат32, например).
но в случае организаций – это, как бы, простите.
с интерфейсами и/о, конечно, чуть сложнее (если они общие) – но тут либо достигать через виртуализацию (устройства), либо через нормальные драйвера (не всегда доступные :(), либо таки привязывать устройство к машине.
подключить принтер/чпу/анализатор/етс в песочницу вроде как не есть большая проблема.

Ответить

Нет конечно, сам механизм макросоа придумывался в те времена, когда не то что интернета, а LAN не у всякого компа был. У него непредсказуемый, динамически расширяющийся через подгрузку библиотек диапазон возможностей. В свою очередь, МС аообще победила на рынке офисных систем вовсе не по волшебству, а именно из-за глубокой интеграции офисных программ между собой в первую ояередь и с другими программами через разные стремные обертки типа COM. Отсюда тянется старого, неподдерживаемого легаси кода на сверхубогом языке, который умудрились и сам локализовать еще), который на разных версиях офиса и машин работает по разному, и проще его уничтожить, чем как-то там ограничивать. Они делают с офисом то же самое, что с 11 виндой, где старые программы не работают больше — выпиливают старое говно мамонта.
Старые макросы никто нигде под песочницу переписывать и тестировать не будет, это как с cobol

Ответить

Майки как всегда. Решение глобальное, но тупое. Все, я подчеркиваю, все проблемы, с которыми сталкивалась наша корпоративная сеть происходили примерно по одному сценарию: кто-то один из сотрудников кликал на какую-то мутную фигню вроде «как стать богатым и знаменитым в один клик», условная тетя Зина из отдела учёта швабр и абсолютный рекордсмен в Косынке. После этого червь, шифратор или что-то подобное разлетался по всей корпоративной сети. И то, что майки заблокировали старый smb протокол до одного места. Где-то винда дырявая труба, потому что разлетается именно по корпоративной сети, даже клиентов не трогает. И тут Майки пришли с решением — блочить наглухо все… Кроме корпоративной сети.

Ответить

Ты бы хоть почитал новость прежде чем писать…

Ответить

Читал. Конкретнее, что я не так понял?

Ответить

справедливости ради, корп. сеть должна быть изолирована на уровне протоколов безопасности.
если «условная тётя Зина» может в корпоративной сети кликнуть какую-то левую хрень из «этих ваших интернетов» и позаражать всю подсеть, то это либо херовые безопасники в конторе, либо херовый директор (которые считает, что безопасники нинужны, он должен иметь глобальный админский доступ (нихера не понимая), а тётя Зина должна без головной боли кликать всё, что заблагорассудится)

Ответить

Сеть изолирована на уровне vpn. И тем не менее в организации, где несколько сотен рабочих, допущенных в эту сеть, всегда найдется кто-то, кто или по незнанию, а может и из злого умысла запустит какой-то зловред. Так вот, по корпоративной сети оно как раз и распространяется. Ладно говорили Petya использовал какую-то дыру в старом протоколе smb, этот протокол майки вм принципе отключили, в декабре шифровальщик биткоины канючил, хз какую уязвимость он нашел. Но суть, что эта вся фигня накрывает именно корпоративную сеть. Я не видел чтобы это были конкретно макросы в доках, но тем не менее, такое ограничение я вижу бессмысленным. Да и документооборот обычно интенсивнее всего в корпоративной сети. Вот и вся суть моего недовольства

Ответить

Значит, у тети зины админские права на локальную тачку, а антивируса нет на шлюзе, на клиентском компе, вклбчая встроееного виндового, либо пользуясь теми же правами админа, игнорируют. Это сразу неуд в самых дешманских удаленных курсах по ИБ за 7000 рублей даже. Какие еще вопросы могут быть.

Ответить

если правильно прописать права «незнающих» пользвателей, то они не смогут даже запускать приложения, кроме разрешённых. и для пользователй уровня «тётя Зина из отдела учёта швабр» не должна иметь разрешений отличных от сохранения галочки или циферки напротив этих швабр.
документооборот достигается через общие папки (на сервере), которые вполне изолированы и никаких исполняемых шифровальщиков ты там не запустишь.
опять же, что бы кто-то «запустил зловред», этот зловред должен сперва в сеть попасть.
И ежели по злому умыслу, то безопасник должен по логам и камерам вычислить, какая сволочь (с достаточными правами) это сделала, взять за жопу и передать соответствующим органам. которые выяснят «с какой целью».