2

O link abaixo trata da auto execução de macro ao iniciar o Excel que tive o propósito de controlar o uso de um sistema em VBA.

https://pt.stackoverflow.com/questions/121301/auto-executar-macros-no-excel-vba?noredirect=1#comment285974_121301

A proposta é que O usuário não entraria no Excel para depois chamar o sistema, mas sim diretamente ao ter esta macro inicial executada ao chamar o Excel.

A ideia é que fique aparecendo somente os formulários do sistema em VBA para os usuários e nada das planilhas do Excel. e ao fechar o sistema, o Excel também seja fechado.

Neste caso em particular, não mexi nas configurações padrão de segurança ou de macro do Excel.

Existem problemas de segurança nesta prática? Quais e por que?

2 Respostas 2

4

Sim, existem problemas de segurança, e potencialmente bem graves. Mas antes, uma explicação dos níveis de segurança no Excel.

Níveis de Segurança

Como você já deve ter percebido, ao criar qualquer código VBA em uma planilha Excel (isto é, nem precisa ser algo que executa automaticamente no evento de abertura da planilha), o Excel requer que você salve o arquivo com uma extensão específica (*.xlsm = pasta de trabalho habilitada para macros). Além disso, quando o arquivo é aberto o Excel solicita (por padrão) ao usuário para que ele permita ou não a execução das macros:

inserir a descrição da imagem aqui

Essa opção é o modo padrão porque o Excel busca garantir a segurança do usuário. Mas ela pode ser alterada. Para isso, vá ao menu "Arquivo", escolha o item "Opções" e selecione o item "Central de Confiabilidade" na janela que será exibida:

inserir a descrição da imagem aqui

Então, clique no botão "Configurações da Central de Confiabilidade" e selecione o item "Configurações de Macro" na nova janela exibida:

inserir a descrição da imagem aqui

Como você pode ver, há quatro (4) opções distintas para você escolher a respeito de como o Excel deve tratar a segurança das macros. São elas (em tradução livre da documentação):

  • Desabilitar todas as macros sem notificação. Clique nessa opção se você não confia em macros (elas são muito malvadas! rs). Todas as macros em documentos e os alertas de segurança sobre elas serão desabilitados. Se existirem documentos que contém macros não assinadas que você confia, você pode colocá-los em uma localidade confiável. Documentos em localidades confiáveis são permitidos a executar sem a verificação pelo sistema de segurança Trust Center.

  • Desabilitar todas as macros com notificação. Esta é a configuração padrão. Clique nessa opção se você quer que as macros sejam desabilitadas, mas quer receber alertas de segurança se existirem macros presentes no documento. Dessa forma, você pode escolher quando habilitar ou não as macros em cada documento que abrir.

  • Desabilitar todas as macros, exceto as digitalmente assinadas. Esta configuração é a mesma que a opção Desabilitar todas as macros com notificação, exceto que se a macro for digitalmente assinada por um publicador reconhecido, a macro pode ser executada se você já tiver confiado no publicador. Se você ainda não confiou no publicador, você será notificado. Dessa forma, você pode escolher quando habilitar as macros assinadas ou confiar no publicador. Todas macros não assinadas são desabilitadas sem notificação.

  • Habilitar todas as macros (não recomendado; códigos possivelmente perigosos podem ser executados). Clique nessa opção para permitir que todas as macros sejam executadas. Usando essa configuração você deixa o seu computador vulnerável a código potencialmente malicioso e, por isso, não é uma atitude recomendada.

Há ainda a opção de "Confiar no acesso ao modelo de objeto do projeto VBA", que é intencionada para desenvolvedores poderem acessar o modelo de objetos do VBA e assim poder construir código dinamicamente. É ainda mais perigosa se marcada, mas eu explico em detalhes a seguir.

Por que é perigoso?

O Excel é uma ferramenta de software instalada no seu computador. Diferentemente de um código em JavaScript, por exemplo, que não tem acesso direto ao seu computador (a arquivos em disco, por exemplo), já que toda a estrutura da linguagem foi criada pensando nisso, o VBA foi feito para permitir a automação de planilhas, apresentações, bancos de dados, enfim qualquer produto do sistema Microsoft Office. E tudo é executado localmente. Por isso, o VBA têm sim acesso local. Você pode criar ou apagar arquivos, acessar sites da Internet, enviar emails, etc (apenas para citar alguns exemplos).

Tudo bem que você confia no código VBA que você fez. Mas o usuário vai utilizar outras planilhas, possivelmente de origens muito diversas. Quem garante que uma delas não tenha código malicioso que, por exemplo, apague todos os arquivos do disco do usuário? O Excel tenta ajudar prevenindo o usuário para não executar qualquer coisa que ele desconheça. Como você viu anteriormente, existe uma configuração para eliminar essa "chatice" de ficar perguntando. Mas ela não é feita para cada arquivo, ela é feita para todo o sistema! Assim, se você liberar a execução do seu código, vai liberar a execução de qualquer código. Inclusive os potencialmente maliciosos (que podem apagar informações do disco ou até se auto-replicar em outros arquivos, se a opção de fornecer acesso ao modelo de objetos estiver selecionada - porque, nesse caso, um código VBA pode até mesmo criar ou excluir outro código VBA, no próprio arquivo, ou em outros que encontrar no disco). E, pior, isso tudo vai ser executado de forma silenciosa, pois o Excel sempre permitirá que a macro execute sem avisar ao usuário que há algo executando.

Alguém poderia argumentar que dificilmente o usuário irá abrir qualquer outra planilha que não as que ele realmente use no dia-a-dia, quando em um ambiente de trabalho. Mas isso não é de todo verdade. Ele pode baixar da Internet aquela planilha bacana com a tabela do Campeonato Brasileiro para abrir na hora do almoço, ou uma planilha "inocente" que apenas auxilia a fazer o bolão da Mega Sena. E não podemos nos esquecer que já houve muitos casos de hackers bem mais aptos em engenharia social do que computação, que simplesmente fingiam ter um CV muito bom pra conseguir uma entrevista naquela empresa inacessível, para então pedir licença para ir ao banheiro e deixar uma mídia com código malicioso e o rótulo "Planilha de Salários" sobre o bebedouro. Usuários curiosos são muito úteis para ajudar a atacar uma empresa por dentro. :)

Se você está construindo algo profissional mesmo, o ideal é contratar o serviço de um servidor de assinaturas digitais e assinar o seu arquivo Excel para que a macro seja assinada e confiável. Assim você pode usar a opção 3 com segurança, e ainda por cima passar credibilidade para o seu cliente. Eu nunca precisei assinar uma macro, então não sei como funciona. Mas há informações na documentação da Microsoft.

1
  • 1
    Luis, grato pela resposta, acredito que o serviço de servidor vai resolver meu problema num future proximo!
    – Leo
    Commented 30/06/2016 às 19:41
1

Sim, existem problemas de segurança nesta prática. Pelo que entendi, você deseja acessar um sistema da sua Companhia via excel e manipular os dados. Para efetuar esta prática, uma das primeiras ações a serem tomadas será fornecer login e senha, que ficarão salvas. Desta forma, fica fácil, também ganhar acesso a informações privadas e que ficaram registradas nas execuções da Macro. Existem muitos outros problemas, mas ao meu ver esses são uns dos mais gritantes.

1
  • Grato pelo retorno Leandro.
    – Leo
    Commented 30/06/2016 às 19:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .