• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / General / Los GUIDs y los MetaData en los documentos Microsoft Office (I)

Los GUIDs y los MetaData en los documentos Microsoft Office (I)

31 agosto, 1999 Por Hispasec Deja un comentario

El empleo, por parte de Microsoft, de GUID (Globally Unique ID) y
«MetaData» en sus documentos «Office», permite la identificación del
autor de un documento concreto, así como seguir su historia y obtener
otras informaciones de cuantioso valor.
Todos los documentos creados con alguno de los paquetes «Office»
(Microsoft Word, Excel, PowerPoint) incluye tanto un GUID como
información histórica sobre todas las modificaciones realizadas sobre
dicho fichero (llamada «MetaData»). Estos datos permiten inferir muchos
datos de interés.

Asimismo, el conocimiento (en estos momentos, público) sobre los
algoritmos empleados en «Office» para almacenar esas informaciones,
permite modificarlas de forma arbitraria, por lo que la falsificación se
convierte en algo trivial.

Microsoft ha publicado un documento justificando la existencia de GUID.
Hay que decir, no obstante, que no publica los detalles internos del
algoritmo, y que las razones con las que intenta justificar el empleo de
GUIDs son pueriles. Afortunadamente Microsoft proporciona dos utilidades
útiles. La primera permite eliminar los GUIDs de los documentos Office
ya creados. La segunda utilidad es un parche que evita que los programas
Office inserten GUIDs en los documentos que se creen a partir del
momento de su instalación.

En cuando a los «MetaData», mucha de esa información no es accesible
desde los propios programas Office, pero sí se puede leer utilizando un
editor de texto sencillo, un editor de disco, o una herramienta a tal
efecto. Algunas de las informaciones que se almacenan como «MetaData» en
los documentos Office son:

– El nombre del autor del documento, así como sus iniciales y el nombre
de la compañía para la que trabaja.

– Los nombres de todos los autores que contribuyeron al documento. Es
decir, el listado de personas que han editado y cambiado el documento.

– Información sobre revisiones y versiones, lo que permite tener acceso
a borradores anteriores del documento, por ejemplo. También se guarda
información sobre el número de palabras tecleadas y el tiempo empleado
en la edición.

– Comentarios y porciones no visibles de otros objetos OLE integrados.

– Etc.

Como puede verse, un documento Office (Word, Excel o PowerPoint) puede
filtrar muchísima más información que la que se muestra en pantalla. En
muchos casos esta información oculta puede comprometer la seguridad,
credibilidad o la privacidad de los autores del documento.

Baste con pensar, por ejemplo, en lo que puede suponer el que el
destinatario de un presupuesto comercial tenga acceso a borradores y
anotaciones supuestamente «eliminadas» en la redacción final. Lo mismo
se puede aplicar a informes internos dentro de una empresa, por ejemplo,
en los que se puede filtrar «hacia abajo» información confidencial que
fue editada al reducir el nivel de seguridad del documento.

Aunque no parece que exista un mecanismo simple para evitar la
propagación de «MetaData» y, con ello, la filtración de datos que ni
siquiera nosotros, los autores del documento, somos conscientes de que
estamos propagando, Microsoft proporciona algunas pistas en su web:

– Instalar el Office 97 Service Release 2 (SR-2).

– Desactivar la opción «Fast Save». Esta opción acelera la grabación
de los documentos mediante su grabación no compactada: los cambios son
añadidos al final del fichero, por lo que se tiene acceso a todo el
histórico. Si se elimina esta opción, el fichero se almacenará sólo
con la última versión del documento, no con los búferes temporales
empleados durante la edición.

Esta opción es especialmente delicada, ya que además de grabar en
disco texto que ya ha sido borrado en el documento, hace que el
fichero mida considerablemente más de lo que sería razonable pensar.

Además, en Office 97 se ha incluido la opción de almacenar los
documentos de fondo (background). Ello permite seguir trabajando con
el programa mientras éste está grabando el fichero en disco. Ello hace
que la opción «Fast Save» sea innecesaria, además de los riesgos de
seguridad que implica.

– Eliminar la grabación de la información sobre el autor de los
documentos creados con Office.

– Eliminar la grabación de la información de resumen, estadísticas, etc.

– Eliminar los comentarios del documento cuando se va a distribuir la
versión final.

– Eliminar las marcas de revisión

– Eliminar el texto, celdas y hojas de trabajo ocultas.

– Eliminar hiperenlaces a documentos internos.

– Eliminar versiones y revisiones del documento. Esta información es
interna al fichero, y debe eliminarse de forma explícita.

– Eliminar información sobre los autores previos.

– Eliminación de información «MetaData» de otros objetos OLE integrados.

– Eliminación del GUID del documento.

– Eliminación de referencias Visual Basic en los «macros».

– Etc.

Se pueden encontrar todos los pasos detallados en los enlaces web
presentes al final de este boletín.

Los documentos que Microsoft tiene en su web sobre la privacidad de sus
usuarios son una lectura obligada. Es sorprendente que a Microsoft se le
«cuelen» inadvertidamente tantos «bugs» relativos a temas de privacidad.
Quien sepa leer entre líneas…

Más información:

Cómo y por qué se crean GUIDs en los documentos Office
Microsoft Office 97 Service Release 2 (SR-2)
Microsoft Office 97 Unique Identifier Patch
Microsoft Office 97 Unique Identifier Removal Tool
How to Minimize Metadata in Microsoft Office 97 Documents
How to Minimize Metadata in Microsoft Word Documents
How to Minimize Metadata in Microsoft PowerPoint Presentations
How to Minimize Metadata in Microsoft Excel Workbooks
How to Disable de Fast Saves Option
Allow Fast Saves Option Not Selected by Default
Opening Word Document in Text Editor Displays Deleted Text
Change in Document File Size Is More or Less Than Expected
How to Change the Company property Information
Frequently Asked Questions About «Allow Fast Saves»
Word Does Not «Fast Save» Documents
Windows 98 Privacy Q&A
Microsoft Addresses Custormers’ Privacy Concerns

Jesús Cea Avión
jcea@hispasec.com

Acerca de Hispasec

Hispasec Ha escrito 6939 publicaciones.

  • View all posts by Hispasec →
  • Blog

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Publicado en: General

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscar

Síguenos

siguenos en twitter

UAD360 EDICIÓN 2022

https://www.youtube.com/watch?v=go_CSWK56yU

Populares de UAD

  • Vulnerabilidad zero-day en AWS Glue
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Técnica permite modificar ficheros PDF con firma digital
  • Tamagotchi para hackers: Flipper Zero
  • Telegram como medio para robar tarjetas de crédito

Entradas recientes

  • Vulnerabilidad zero-day en AWS Glue
  • Evasión de CloudTrail en AWS a través de API no documentada
  • Parches de enero 2023: Microsoft corrige 98 vulnerabilidades
  • UAD se abre a la comunidad
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Vulnerabilidades críticas en productos de Synology
  • Más de dos docenas de errores de WordPress explotados por un nuevo malware de Linux
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

UAD

UAD nació a raíz de un inocente comentario en un canal IRC hace 24 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Aviso Legal

  • Aviso Legal
  • Términos y Condiciones
  • Política de Privacidad
  • Política de Cookies

Copyright © 2023 · Hispasec Sistemas, S.L. Todos los derechos reservados

Este sitio web utiliza cookies propias y de terceros para fines analíticos y para mostrarte publicidad (tanto general como personalizada) relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas), para optimizar la web y para poder valorar las opiniones de los servicios consultados por los usuarios. Para administrar o deshabilitar estas cookies haz clic en: Configurar Cookies


Rechazar todo Aceptar Todo
Configurar Cookies

Resumen de privacidad

Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas, las cookies que se clasifican como necesarias se almacenan en su navegador, ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y comprender cómo utiliza este sitio web. Estas cookies se almacenarán en su navegador solo con su consentimiento. También tiene la opción de optar por no recibir estas cookies. Pero la exclusión voluntaria de algunas de estas cookies puede afectar su experiencia de navegación.
Necesaria
Siempre activado
Las cookies necesarias son absolutamente esenciales para que el sitio web funcione correctamente. Estas cookies garantizan funcionalidades básicas y características de seguridad del sitio web, de forma anónima.
CookieDuraciónDescripción
cookielawinfo-checkbox-analytics11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Análisis".
cookielawinfo-checkbox-functional11 monthsLa cookie está configurada por el consentimiento de cookies de GDPR para registrar el consentimiento del usuario para las cookies en la categoría "Funcional".
cookielawinfo-checkbox-necessary11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. Las cookies se utilizan para almacenar el consentimiento del usuario para las cookies en la categoría "Necesario".
cookielawinfo-checkbox-others11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Otro.
cookielawinfo-checkbox-performance11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Rendimiento".
viewed_cookie_policy11 monthsLa cookie está configurada por el complemento de consentimiento de cookies de GDPR y se utiliza para almacenar si el usuario ha dado su consentimiento o no para el uso de cookies. No almacena ningún dato personal.
Analítica
Las cookies analíticas se utilizan para comprender cómo interactúan los visitantes con el sitio web. Estas cookies ayudan a proporcionar información sobre métricas, el número de visitantes, la tasa de rebote, la fuente de tráfico, etc.
GUARDAR Y ACEPTAR