sábado, noviembre 22, 2008

Metadatos e Información Oculta en documentos de OpenOffice (VI de VI)
por Enrique Rando y Chema Alonso

***************************************************************************************
Artículo publicado en PCWORLD Octubre de 2008
- Metadatos e Información Oculta en documentos de OpenOffice (I de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (II de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (III de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (IV de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (V de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (VI de VI)
***************************************************************************************

Herramientas de análisis y limpieza

Existen algunas herramientas para analizar y eliminar metadatos en OpenOffice, como 3BOpenDoc o 3BClean, pero estas herramientas sólo eliminan la información del archivo meta.xml dejando las informaciones sobre impresoras, posibles servidores internos y datos de las conexiones a base de datos en settings.xml y content.xml.

Es cierto que el fichero meta.xml es especialmente importante, pues, como dice la documentación, este fichero no se va a cifrar ni aun cuando se guarde el fichero protegido por contraseña, pero los datos de la impresora o conexiones a bases de datos son igual de importantes desde el punto de vista de la seguridad.

Es por tanto importante contar con una herramienta capaz de analizar todos los datos de estos ficheros y proporcionar un entorno cómodo y fácil de usar para todos los usuarios de una organización que limpie totalmente todos los metadatos en ficheros OpenOffice.

El propio producto de OpenOffice ofrece la opción de “Borrar la información personal al salir”, pero esta opción no elimina la información del sistema operativo, las impresoras, la versión del producto, la ruta de la plantilla, que puede mostrar rutas ocultas o direcciones de servidores internos y por supuesto tampoco la información de la conexión a las bases de datos.


Figura 29: Borrar Información al guardar

Cómo se puede ver, ni la opción de “Borrar toda la información personal” ni el uso de las herramientas disponibles elimina toda la metainformación o información oculta dentro de un documento OpenOffice.

Otra opción que se puede utilizar es la del uso de herramientas de recuperación de documentos dañados. Utilizando la herramienta Recovery For Writer se puede comprobar que toda la metainformación, tanto en meta.xml como en settings.xml, desaparece. Sin embargo, la información sobre la estructura de la base de datos y la conexión en content.xml perdura, y en documentos creados con plantillas puede cambiar el aspecto del documento.


Figura 30: Recovery for Writter

OOMetaExtractor

Esta herramienta analiza y elimina la metainformación contenida en el fichero meta.xml, tanto de usuario como del sistema operativo, la información contenida en settings.xml, tanto sobre la impresora como la plantilla, y, a elección del usuario, la información sobre las tablas y columnas de la base de datos en un fichero de modelo. Más información en: OOMetaExtractor


Figura 31: OOMetaExtractor

Conclusiones

Hemos visto que los documentos ofimáticos en general, y en particular los generados con OpenOffice, contienen información que puede afectar a la imagen y a la seguridad de las organizaciones. Sin embargo, muchas de ellas no controlan apropiadamente los metadatos y la información oculta que figura en los documentos que son publicados o enviados por correo electrónico.

Los metadatos en documentos ofimáticos son un riesgo para la seguridad informática y, hoy en día, el análisis de estos está incluido en todas las auditorías de seguridad o test de intrusión que se realizan a las empresas.

Existen herramientas rastreadoras que buscan a través de Internet metadatos en todos los documentos ofimáticos de una empresa, como por ejemplo Metagoofil, que facilitan la labor de acceso a esta información publicada tanto al auditor de seguridad cómo a un posible atacante.

Pero son muchos los factores a tener en cuenta a la hora de controlar los metadatos y la información oculta ya que estos se pueden presentar de diversas formas y a través de numerosas opciones y características de las aplicaciones ofimáticas.

Es por ello imprescindible el desarrollo y uso de herramientas que permitan controlar los metadatos y la información oculta en los documentos publicados. Más aún: es imprescindible que este control se incorpore en los flujos de publicación de documentos y que se integre con las políticas de imagen y seguridad corporativas.

Es importante concienciar a los usuarios de una empresa de la higienización de documentos antes de la publicación de los mismos.

Utilidades

- ExifReader:
URL: http://www.takenet.or.jp/~ryuuji/minisoft/exifread/english/
- DocScrubber:
URL: http://www.javacoolsoftware.com/docscrubber/index.html
- Metadata Extraction Tool:
URL: http://www.drewnoakes.com/code/exif/releases/
- Libextractor:
URL: http://gnunet.org/libextractor/
- Metagoofil:
URL: http://www.edge-security.com/metagoofil.php
- 3BOpenDoc y 3BClean:
URL: http://www.3bview.com/
- Recovery For Writer:
URL: http://ref.officerecovery.com/writer/?5316oow
- OOMetaExtractor: http://www.codeplex.com/OOMetaExtractor

Saludos Malignos!

***************************************************************************************
Artículo publicado en PCWORLD Octubre de 2008
- Metadatos e Información Oculta en documentos de OpenOffice (I de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (II de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (III de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (IV de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (V de VI)
- Metadatos e Información Oculta en documentos de OpenOffice (VI de VI)
***************************************************************************************

4 comentarios:

fernando dijo...

gran trabajo! nunca sabrás como algunos agradecemos semejante información como la que a menudo muestras por aqui. gracias.
Con un poco de jeta por mi parte me lanzo a preguntarte, como demonios puedo habilitar la powershell en un vista home basic, por motivos de presupuesto la maquina que acabo de comprar viene con la típica copia preinstalada y la más basica y me he llevado un buen chasco al ver que uno de los motivos que me habian llamado la atención del vista no está permitido en esta versión ( o al menos en los requerimientos en la web de Spectra así lo dicen), y pagar por el sistema casi la mitad de lo que me costó la máquina, pues como que no... gracias por adelantado. Saludos desde Asturias (esa región por la que nunca os pasais!! :D )

Maligno dijo...

@Fernando, gracias por los comentarios, es un placer. LLevas razón, creo que en Asturias todavía no he dado ninguna charla en mi vida. Tal vez en el futuro.

Respecto a lo de PowerShell en Vista Home, me pillas. Pregúntalo en Vista-Técnica.

Saludos!

senovilla dijo...
Este comentario ha sido eliminado por el autor.
senovilla dijo...

Hoy he asistido a esta conferencia en Pamplona y me ha dejado sorprendido.

Un gran trabajo de información sobre lo que estamos desinformados.

Gracias y me quedo de feed en este rincón.

Saludos Cordiales.

Entrada destacada

Infraestructuras Críticas y Sistemas Industriales: Auditorías de Seguridad y Fortificación de @0xWord

Desde hoy está disponible a la venta un nuevo libro de 0xWord centrado en la seguridad de los Sistemas Industriales y las Infraestructuras...

Entradas populares