Recordando los controles ActiveX, el mayor error de la web

Introducido en 1996, los controles ActiveX de Internet Explorer fueron una mala idea para la web. Causaron graves problemas de seguridad y ayudaron a cementar el dominio de Internet Explorer en Windows, lo que llevó a El estancamiento pre-firefox de la web. .

Controles ActiveX son un tipo de programa que se puede incrustar en otras aplicaciones. Microsoft los usó para una variedad de propósitos, por ejemplo, podría incrustar controles ActiveX en los documentos de Microsoft Office. Sin embargo, aquí, nos estamos enfocando en ActiveX para la web. A partir de Internet Explorer 3.0 en 1996, Microsoft permite a los desarrolladores web incrustaron controles ActiveX en sus páginas web.

En ese entonces, cuando visitó una página web, Internet Explorer le pedirá que descargue y ejecute cualquier control ActiveX que se especifique la página web.

Los complementos populares de Internet Explorer como Adobe Flash, Adobe Shockwave, RealPlayer, Apple QuickTime y Windows Media Player se implementaron utilizando los controles ActiveX.

RELACIONADO: Lo que son los controles ActiveX y por qué son peligrosos.

Los años 90 fueron un tiempo diferente, que también nos trajo. Macros peligrosos en documentos de oficina. . Originalmente, los controles ActiveX fueron como cualquier otro programa en su computadora. Cuando lanzó un control ActiveX, tuvo acceso completo a todo en su computadora.

En otras palabras, puede visitar una página web en Internet Explorer y ver un mensaje que indica que la página web quería ejecutar un juego u otro programa. Si acordó, el control ActiveX podría hacer cualquier cosa que desee con todos los archivos y programas en su computadora. Es fácil ver cómo esto fue ideal para malware.

Esto estaba en marcado contraste con la tecnología Java de Sun. En ese momento, Java también se usó para ejecutar programas en páginas web dentro de los navegadores web. Sin embargo, Java intentó limitar lo que estos programas podrían hacer mediante el uso de un salvadera . Java en el navegador web en última instancia tuvo una larga historia de fallas de seguridad -Pero al menos Java estaba tratando de limitar las aplicaciones que podrían hacer.

Un artículo de CNET desde 1997 Captura la actitud de Microsoft en el momento:

"Si bien la caja de arena de Java hace cumplir un alto grado de seguridad, no permite que los usuarios descargan y ejecuten emocionantes juegos multimedia u otros programas con todas las funciones en sus computadoras", se lee una declaración sobre el sitio de seguridad de Microsoft. "Como resultado, los usuarios pueden querer descargar el código que tiene acceso completo a los recursos de sus computadoras".

El artículo continúa explicando que Microsoft incluyó un sistema de "responsabilidad" llamado Authenticode. Los desarrolladores de software pueden optar por sellar sus controles ActiveX con una firma digital, pero no fue obligatorio. Los desarrolladores que crearon controles activos maliciosos podrían ser rastreados más fácilmente, si eligen firmar sus controles.

Con Microsoft, confiando inicialmente en el sistema de honor, es fácil ver cómo ActiveX se convirtió en una forma popular de entregar malware y spyware a los usuarios de Internet Explorer.

RELACIONADO: ¿Por qué tantos geeks odian a Internet Explorer?

Hubo un momento en que las tecnologías web no eran muy poderosas. Si quisiera algo más avanzado que el texto y las imágenes, incluso si solo quiere incrustar un video en una página web: necesitaba algún tipo de complemento del navegador.

ActiveX fue diseñado para un mundo donde no podía crear aplicaciones complejas, con todas las funciones que utilizaban HTML, JavaScript y otras tecnologías modernas, como puedes hoy.

Muchas organizaciones se dirigieron a los controles ActiveX para agregar funcionalidad a sus sitios web. Muchas empresas también utilizaron los controles ActiveX internamente, para entregar rápidamente programas a sus PC Business. Cuando accedió a una de estas páginas web con Internet Explorer, le pediría que descargue un control ActiveX y que ejecute el programa.

Agradable y fácil, demasiado fácil. Quizás eso volaría en la red interna de una empresa (intranet) donde todo era confiable. Pero en la web indomable, esto causó muchos problemas.

Conceptualmente, ActiveX tenía dos grandes problemas de seguridad. En primer lugar, un sitio web malicioso podría indicarle que instalar un control ActiveX maliciosos, y era muy fácil para los usuarios de Internet Explorer se pongan de acuerdo al indicador e instalarlo.

En segundo lugar, un error en un control ActiveX legítima podría ser un problema. Si usted tenía una versión antigua de Adobe Flash instalado, por ejemplo, un sitio web malicioso podría aprovecharse de eso y tener acceso a todo el equipo, ya que los controles ActiveX como Flash tenían acceso a todo el equipo.

Este fue un gran problema, en realidad, ya que los controles ActiveX a menudo no cuentan con sistemas de actualización automática.

Con el tiempo, Microsoft siguió apretando la configuración de seguridad y la adición de una protección adicional como “modo protegido” y “ El modo protegido mejorado " Por ejemplo, Internet Explorer tiene un built-in lista de controles ActiveX anticuados que se niega a cargar. Internet Explorer proporciona advertencias adicionales antes de los controles ActiveX de descarga y carga. Otras configuraciones de seguridad se introdujeron que permiten creadores de control ActiveX restringen sólo controles ActiveX se ejecuten en ciertos sitios web, por ejemplo.

Un ejemplo: la página web de Microsoft, una vez requerido una “Download Manager” Akamai control ActiveX para descargar ciertos archivos. Este administrador de descargas requiere acceso completo a todo el equipo, y por supuesto, sólo corrió en Internet Explorer. Como era de esperar, este programa Gestor de Descarga tenía sus propias vulnerabilidades de seguridad . ¿Eso realmente suena como una buena solución para la descarga de archivos en lugar de sólo confiar en su navegador web incorporado en el programa de descarga de archivos?

ActiveX era una tecnología de Microsoft que funcionó mejor en Internet Explorer en Windows. Hubo algunos plug-ins que ha añadido soporte para navegadores de la competencia, como Netscape Navigator (el antepasado de Mozilla Firefox), pero fue realmente todo acerca de Internet Explorer.

Técnicamente, ActiveX era multiplataforma. Microsoft añadió soporte ActiveX para Internet Explorer para Mac. Sin embargo, a diferencia de Java (que era multiplataforma), controles ActiveX escritas para Windows no funcionaría en un Mac. Los desarrolladores tendría que crear controles ActiveX para el Mac.

Por ejemplo, Corea del Sur estandarizado en un control ActiveX que se requiere para acceder a sitios web financieros y gubernamentales seguras De vuelta en los años 90. Sólo era totalmente cerrará en 2020 , Y la dependencia de ActiveX obligó a la gente a usar esa tecnología antigua, obsoleta desde hace mucho tiempo. Como el El Correo de Washington escribió una vez, “Corea del Sur [era] pegado con Internet Explorer para ir de compras en línea” en 2013. El artículo describe cómo los usuarios de Mac tenían que depender de las computadoras de escritorio en sus oficinas, cafés internet, ordenadores antiguos, o Campo de entrenamiento para realizar compras en línea.

Tales situaciones jugado a cabo de manera similar en otros lugares: Las empresas que estandarizadas en ActiveX para la entrega de aplicaciones internas estaban atrapados en función de Internet Explorer en Windows hasta que se fueron ActiveX atrás.

Desde una perspectiva de seguridad, la web moderna es mucho mejor. Cuando se carga una página web, tu web navegador carga y se ejecuta esa página web en su propia caja de arena aislado. El navegador web no se basa en ActiveX, Java, Flash o cualquier otro tipo de programa de terceros que se ejecuta parte de la página web.

No hay manera de un sitio web para entregar código que tiene acceso completo a todo en su computadora -no sin necesidad de descargar un archivo EXE que se ejecuta por completo fuera del navegador en Windows, por ejemplo.

Su navegador web se actualiza automáticamente, así que no hay riesgo de antiguo código sentados alrededor y ser accesible a las páginas web sin conseguir parches-ya que no había ActiveX con seguridad.

Antes de que fuera despedido por completo a favor de las tecnologías web a finales de 2020 , Aunque el contenido de Flash era más seguro que el ActiveX. Google Chrome, por ejemplo, pasó de Flash en un entorno limitado. Un applet de destello malicioso tendría que utilizar una falla para escapar de la caja de arena en sí mismo Adobe Flash, y luego usar otro defecto para escapar del plug-in de recinto de seguridad en Google Chrome para obtener acceso completo a la computadora.

Y, por supuesto, la web moderna es multiplataforma. Puedes usar cualquier navegador que elijas en cualquier plataforma que quieras. No está atascado con Internet Explorer en Windows porque los sitios web que usa requiere un control ActiveX que solo funciona en Windows en ese navegador.

Y seguro, La mayoría de las extensiones de navegador que instala tienen acceso a todo lo que hace en su navegador web -Pero al menos no tienen acceso a toda su computadora.

RELACIONADO: ¿Sabía que las extensiones de navegador están mirando su cuenta bancaria?

A partir de 2021, los controles ActiveX todavía son compatibles con las versiones modernas de Windows 10. Tienes que Utilice el navegador Legacy Internet Explorer 11 Sin embargo, Microsoft Edge no admite los controles ActiveX.

Algunas empresas y otras organizaciones aún están utilizando los controles ActiveX hoy, por lo que Microsoft aún no ha eliminado el soporte para ello.

RELACIONADO: Adobe Flash está muerto: esto es lo que eso significa