activex

ActiveX ei välttämättä ole tietoturvariski.

Syy, miksi ActiveX on saanut tietoturvariskin maineen, on tässä:

1. Käyttäjä surfaa netissä MS-Internet Explorerilla, ja tietoturva-asetukset ovat suorastaan vaarallisessa kunnossa.

2. Käyttäjä surfaa nettisivulle, jolla on käytetty ActiveX -komponenttia. Joko selain hyväksyy tuon komponentin kyselemättä tai käyttäjä vastaa OK selaimen kysymykseen, ajetaanko tuo ActiveX.
Saattaa myös olla mahdollista JavaSriptin tms. tekniikoiden avulla painaa käyttäjän puolesta em. OK -nappia... tai jos ei, niin ainakin tuottaa ensin hämärä määrä mainos- yms. laatikoita, joihin on pakko painaa OK päästäkseen niistä eroon, ja sitten esim 30 mainoslaatikon jälkeen 31. laatkikko kysyykin "annatko luvan tämän ActiveX -sovelluken suorittamiseen ? [OK] [Cancel]" -moni menee lankaan.

Huomautettakoon vielä: asiallisesti tehty ActiveX ei ole minkäänlainen tietoturvariski. Mutta internetissä ongelma onkin siinä, ettei käyttäjä voi mistään tietää, onko nettisivulla oleva ActiveX -komponentti asiallinen, vai peräti virus/haittaohjelma tai sellaisen automaattinen asennusohjelma!

Yllä siis syitä ActiveX:n turvattomalle maineelle.

Mutta ActiveX teknologiana on hyödyllinen, eikä sen tietoturvattomampi kuin muutkaan teknologiat, oikein käytettynä. Tarkoittaa siis sitä, ettei selain saa automaattisesti antaa ajolupaa millekään ActiveX:lle. Tosin, hyödyllisiäkin ActiveX:iä on olemassa, ja ne voisi rinnastaa vaikka monen selaimen tukemiin plugineihin. Niistäkin osa on hyödyllisiä, mutta kukaan ei estä suunnittelemasta pluginia rikollisiin tarkoitusperiin. Kyse ei olekaan käytetystä teknologiasta, vaan siitä, että mistä ihmeestä käyttäjä voi tietää, mihin voi luottaa ja mihin ei.

ActiveX:n hyötykäytöstä:

ActiveX toimii myös toisinpäin. Edellä on kuvattu, kuinka MS-IE voi ladata netistä ActiveX -komponentin ja suorittaa sen. Mutta homa toimii myös toisinpäin:

MS-IE itse on on paitsi sovellusohjelma, myös ActiveX -komponenttina sovelluskehittäjän käytettävissä.

Esim. Delphillä voi tehdä ohjelman, joka käyttää MS-IE:tä (sen ActiveX -versiota) komponenttina, melkein kuin se olisi Delphi -komponentti. Itsesiassa, importoitaessa ActiveX-komponentti Delphiin, Delphi rakentaa sille automaattisesti wrapperin, joka ON Delphi -komponentti, ainoana erona muihin Delphi -komponentteihin on se, että tuo komponentti ei itse toteuta toiminnallisuutta Delphi -koodilla, vaan lataa ActiveX-komponentin, ja tarjoaa sille kutsurajapinnan Delphi-komponentin kautta.

Itseasiassa aika monikin Windows -ohjelma on tehty niin, että se toimii paitsi itsenäisenä ohjelmana, myös ActiveX -komponenttina, tässä vain muutamia esimerkkejä:

MS-IE
Adobe Acrobat Reader
MS Media Player

Kun joku kuitenkin kommentoi siitä, että tehdäänkö tätä mahdollisuutta käyttämällä mahdollisesti tekijänoikeusrikos, vastaanpa siihen: ei tehdä.

Jos esim. Delphiin importoidaan tuo Acrobat Reader ActiveX -komponenttina, niin saadaan Delphi -ohjelma, joka osaa näyttää (ja mahdollisesti tulostaa) PDF -tiedostoja, käyttäen hyväksi Adoben kehittämää koodia (johon luonnollisesti Adobella on tekijänoikeus).

MUTTA: Tuollainen Delphi -ohjelma toimii vain koneessa, jossa on Acrobat Reader asennettuna. Jos tuollaista Delphi -ohjelmaa yritetään käyttää koneessa, johon ei ole asennettu Acrobat Readeria, niin eipä se ohjelma PDF:iä näytä, vaan yritys tehdä sitä tuottaa virheilmoituksen viallisesta ActiveX -sidonnaisuudesta.

Tuon Delphi -ohjelman rakenteesta riippuen tuo virheilmoitu voi tulla joko heti ohjelmaa käynnistettäessä tai vasta, kun PDF -tiedostoa yritetään avata.

Tällainen ohjelma ei siis sisällä Adoben koodia, vaan tiedot siitä, miten koneessa kiintolevyllä asennettuna olevaa koodia voidaan hyödyntää. Jos tuota koodia ei löydy, ohjelma ei siltä osin toimi, ja ohjelman rakenteesta riippuen virheilmoitus voi tulla jo heti ohjelmaa käynnistettäessä.

ActiveX -teknologia näin käytettynä tarjoaa mahdollisuuksia, esim. selaimen 100% kontrolli omasta ohjelmasta käsin.

Haluatko nähädä demon, mitä tällä teknologialla voi tehdä?

Jos, menepä käymään työvoimatoimistossa ja selaa itsepalvelupäätteellä avoimia työpaikkoja.

Tuo sovellus käyttää MS-IE:tä ActiveX -komponenttina, sillä vain on estetty selailu muualle kuin työvoimatoimiston sivuille.

Lisäksi, sovellus poistaa normaalisti windows -ohjelmaan kuuluvan otsikkopalkin, estää Ctr-Esc ja Ctrl-Alt-Del näppäilyjen toiminnan jne.

Tyypillinen ns. kioskisovellus, jossa käyttäjän ei haluta antaa tehdä muuta kuin mihin sovellus on tarkoitettu.

MS-IE:tä ActiveX:nä käyttämällä voidaan myös automatisoida nettiin liittyviä toimintoja.

Valitettavasti tosiaan esim. Firefox ei tarjoa yhtä helppoa tapaa vaikkapa Kylix -ohjelmasta käsin käyttää Firefoxia komponenttina, kuin mitä MS-IE:tä voi käyttää Delphi -ohjelmassa ActiveX -komponenttina.

Näyttää siis pahasti siltä, että jos tuota toiminnallisuutta hyödyntävän Delphi -ohjelman, jossa käytetään MS-IE:tä ActiveX:nä,haluaa saada toimimaan Linuxissa, niin eipä kannata portata Delphi -koodia Kylixille, kun tuon MS-IE:n korvaajaksi ei ole tarjolla mitään.

Ainoa vaihtoehto lieneekin asentaa WINE, asentaa siihen MS-IE ja ajaa Delphi -ohjelmaa WINEllä.