不让浏览器启动本地应用程序的充分理由

时间:2008-08-28 08:50:21

标签: security internet-explorer activex intranet

我知道这可能是一个明智的选择,但请继续阅读。

我也知道,即使在内联网环境中,让浏览器运行并与本地应用程序交互通常也不是一个好主意,也许是最差的。

我们将Citrix用于家庭办公室,人们非常喜欢它。现在,他们希望在工作中使用相同类型的环境,这是一个很好的页面,每个重要的应用程序/文档/文件夹都可以很好地排列并按顺序分类。这些人并不是特别精通技术;我甚至不认为他们能够理解远程交付的应用程序和本地应用程序之间的区别。

所以,我被问到是否有可能。当然,它是IE的良好的'ActiveX控件'。我甚至做了一个工作原型(这就是它受伤的地方)。

但现在,我怀疑。即使在“本地Intranet ”区域中,允许这样的“危险”ActiveX控件也不是很疯狂吗?人们会使用相同的浏览器上网,我可以完全信任IE吗?微软是否会在未来的更新/版本中禁用这些控件?如果一个网站或任何类型的恶意软件只是将另一个网站放在信任列表上怎么办?通过这种程度的控制,您可以卸载所有保护措施,并且直到您被IT部门绞死一直运行。

我即将面对我的上级这样一个事实:即使他们认为这是可行的,这将是一件非常糟糕的事情。所以我迫切需要好的和强有力的论据,因为“让我们不”不会这样做。

当然,如果没有什么可怕的,那也会很好。但我强烈怀疑。

3 个答案:

答案 0 :(得分:4)

  

我们将Citrix用于家庭办公室,人们非常喜欢它。现在,他们希望在工作中使用相同类型的环境,这是一个很好的页面,每个重要的应用程序/文档/文件夹都能很好地排列并按顺序分类

我没有多次使用Citrix,但它与执行本地应用程序有什么关系?我不知道“像Citrix这样的人”和“执行本地应用程序的浏览器”有什么关系?

如果人们在家中访问您的Citrix服务器,并希望在办公室获得相同的体验,那么购买便宜的PC,并运行他们在家用计算机上运行的完全相同的Citrix软件。把这台电脑放在角落,告诉他们去使用它。他们会高兴极了。

  

即使在“本地内联网”区域,允许这样的“危险”ActiveX控件也不是很疯狂吗?人们会使用相同的浏览器上网,我可以完全信任IE吗?

这样说吧。 IE内置支持AX控件。除非在受信任的站点中,否则它使用它的安全机制来阻止它们运行。默认情况下,根本不信任任何站点。

如果您完全使用IE ,那么您将自己置于这些安全机制的摆布之下。您是否告诉它信任本地Intranet是不重要的,并且不会影响任何其他区域的操作。

当MS发出修补程序时,每隔几周需要您重新启动计算机的旧安全漏洞将继续存在并导致问题,无论您是否在本地Intranet中允许ActiveX。

  

微软是否会在未来的更新/版本中禁用这些控件?

自从XP-SP2以来,微软一直越来越难以使用ActiveX控件。我不知道有多少可怕的警告信息和“这可能会破坏你的计算机”对话框,你必须点击这些天来让它们运行,但它有很多。这只会随着时间的推移而变得更糟。

答案 1 :(得分:4)

微软走的很好。一方面,他们经常使用Windows Update发送ActiveX killbits来删除/禁用行为不端的应用程序。另一方面,最新版本的Sharepoint 2007(不能代表早期版本)允许通过单击浏览器中的链接打开Office文档,并在本地应用程序中进行编辑。编辑完成后,更改将传输回服务器并刷新网页(通常)。这只是一个IE浏览器,因为Firefox会抛出错误信息。

但是,我可以看到它背后的逻辑。在Microsoft将所有应用程序“放入云端”之前,有些情况需要弥合旧客户端应用程序与更加以Web为中心的业务环境之间的差距。虽然可能存在非Web解决方案,但越来越多的信息工作者已经开始期望他们的大部分工作将在浏览器中完成。任何能够更容易与桌面集成的东西都不会被除了系统管理员之外的任何人反对。

答案 2 :(得分:1)

  

标准的Citrix主页(或我们如何使用它)是一个带有程序图标的简单网页。单击它,应用程序将交付给您。人们在工作中想要与他们的应用程序/文件夹/文档相同的东西。因为我是一名网络开发人员,他们问我,我是用网页做的......也许我应该把整个事情都传给VB人..

啊......我知道有两种方法可以做到这一点:

您可以将Internet Explorer嵌入到应用程序中,并将其挂钩并拦截某些类型的URL等等

几年前我看到了这一点 - 电话应用程序嵌入了Internet Explorer本身,并加载了一些特殊格式的网页。

在网页上有这样的:

<a href="dial#1800-234-567">Call John Smith</a>

通常这会是一个损坏的URL,但是当用户点击此链接时,包含嵌入式IE的应用程序会收到通知,然后继续执行它自己的自定义代码以从URL拨打该号码。

你可以让你的VB人写一个基本上只包装IE的应用程序,并拥有执行应用程序的处理程序。然后,您可以使用仅打开应用程序的链接对普通网页进行编码,VB应用程序将启动它们。这允许您将自己的安全性内容(例如,仅在预设列表中启动应用程序等)编写到VB应用程序中,并且因为VB正在启动它们而不是IE,所以不会涉及IE安全问题。 / p>

第二种方式是浏览器插件。

例如,skype附带一个Firefox插件,用于在网页中查找电话号码,并附加特殊链接。当你点击这些链接时,它会调用skype - 你可以想象做类似的事情来启动你的citrix应用程序。

然后你会被绑在火狐上。为IE编写插件比用FF更难 ,除非被迫,否则我不会沿着这条路走下去。