Plik z Internetu

Plik pobrany z internetu otrzymuje znacznik pochodzenia, przez który otwiera się w widoku chronionym.

Znacznik pochodzenia pliku pobranego z Internetu

Plik pobrany z Internetu może otrzymać w systemie Windows informację o źródle, zwaną znacznikiem pochodzenia lub Mark of the Web. Mechanizm ten jest obsługiwany przez Attachment Manager i służy do odróżniania plików pochodzących z sieci od dokumentów utworzonych lokalnie. Informacja nie musi zmieniać samej zawartości pliku; jest metadanymi dołączonymi przez system plików. W przypadku woluminów NTFS może być zapisana jako alternatywny strumień danych o nazwie Zone.Identifier.

Typowy wpis w tym strumieniu ma postać [ZoneTransfer] oraz ZoneId=3, gdzie wartość 3 oznacza strefę Internet. Windows rozróżnia również inne strefy zabezpieczeń, między innymi strefę intranetu lokalnego, zaufanych witryn i komputera lokalnego. Przy pobieraniu pliku przeglądarka lub inny program może zapisać dodatkowo adres źródłowy w polach HostUrl i ReferrerUrl. Obecność tych danych zależy od programu pobierającego, systemu plików i sposobu zapisania pliku.

Dlaczego dokument otwiera się w widoku chronionym

Microsoft Office wykorzystuje znacznik pochodzenia jako jeden z sygnałów ryzyka. Dokumenty Worda, Excela i PowerPointa pobrane z Internetu, otrzymane jako załączniki albo zapisane z innych potencjalnie niezaufanych lokalizacji mogą zostać otwarte w trybie Protected View, czyli w widoku chronionym. W tym trybie dokument jest prezentowany w ograniczonym środowisku, a funkcje mogące wykonywać działania poza samym wyświetlaniem treści są ograniczane.

Widok chroniony nie oznacza, że plik jest uszkodzony. Jest to decyzja bezpieczeństwa mająca zmniejszyć skutki uruchomienia złośliwej zawartości, takiej jak makra, aktywne składniki, odwołania do zewnętrznych zasobów lub spreparowane dane wykorzystujące lukę w aplikacji. Pasek ostrzeżenia w Office może zawierać przycisk umożliwiający włączenie edycji. Użycie tego przycisku powinno nastąpić dopiero po sprawdzeniu źródła pliku, oczekiwanego typu dokumentu i jego zawartości, ponieważ wyłączenie ograniczeń zwiększa zakres działań dostępnych dokumentowi.

Sprawdzanie i usuwanie informacji o źródle

W Eksploratorze plików Windows można kliknąć plik prawym przyciskiem myszy, wybrać „Właściwości” i sprawdzić, czy na karcie „Ogólne” pojawia się komunikat o pochodzeniu z innego komputera. Dostępna opcja „Odblokuj” usuwa oznaczenie blokady dla danego pliku. Jest to operacja dotycząca konkretnego pliku, a nie dowód, że jego treść jest bezpieczna. Przed otwarciem dokumentu warto zweryfikować rozszerzenie, nadawcę, przewidywaną zawartość oraz przeskanować plik aktualnym programem zabezpieczającym.

Informację można również sprawdzić w PowerShellu poleceniem Get-Item -Path .\dokument.docx -Stream Zone.Identifier, o ile plik znajduje się na systemie plików obsługującym alternatywne strumienie danych. Do usunięcia tego konkretnego strumienia służy polecenie Unblock-File -Path .\dokument.docx. Polecenie usuwa oznaczenie pochodzenia, ale nie usuwa makr, skryptów ani innego aktywnego kodu znajdującego się w dokumencie. Po skopiowaniu pliku na system plików, który nie przechowuje alternatywnych strumieni danych, znacznik może zostać utracony, dlatego brak komunikatu o widoku chronionym nie zawsze oznacza, że plik pierwotnie nie pochodził z Internetu.

Znaczenie dla użytkownika laptopa i komputera PC

Problemy związane z plikiem z Internetu mogą objawiać się jako brak możliwości edycji dokumentu, zablokowane makra, ostrzeżenie przy otwieraniu archiwum albo komunikat o pochodzeniu pliku. Diagnoza powinna obejmować sprawdzenie rozszerzenia, właściwości pliku, obecności strumienia Zone.Identifier, ustawień widoku chronionego w używanej aplikacji oraz wyników skanowania. Nie należy zmieniać globalnych ustawień bezpieczeństwa Office tylko po to, aby ominąć ostrzeżenie dotyczące jednego dokumentu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a także diagnostyką problemów z systemem Windows oraz popularnym oprogramowaniem biurowym. W ramach analizy można ustalić, czy blokada wynika ze znacznika pochodzenia, uprawnień do pliku, uszkodzenia dokumentu, niezgodności aplikacji czy działania programu zabezpieczającego. Prawidłowe rozpoznanie przyczyny pozwala dobrać rozwiązanie do konkretnego pliku bez niepotrzebnego osłabiania ochrony całego komputera.