CAD tip # 12140:

Nejběžnější zranitelnost je způsobena tím, že aplikace umožňuje spustit škodlivý spustitelný kód, například MAXScript, vložený do datových souborů, jako jsou soubory scény (.max) -- ten se automaticky načte a spustí v 3dsMaxu. Kompilované (C++, C#) nebo skriptované (MAXScript, Python) pluginy mohou také představovat riziko. Některé škodlivé skripty se šíří úpravou nebo vytvořením nového skriptu v podsložce scripts\startup a do něj přidají kód pro načtení škodlivého skriptu.

Zranitelné soubory

• Soubory scén 3ds Max a různé jejich varianty (.max, .maxc, .chr, .mat)
• Skripty MAXScript (.ms , .mcr , .mxs , .mse)
• Python skripty (.py , .pyc)
• C++ pluginy (všechny typy podporované v 3ds Max: .dll , .exe)
• .NET sestavy (.dll)
• JavaScript

Doporučení

• Nainstalujte 3ds Max do výchozího umístění souborů programů (C:\Program Files\Autodesk\3ds Max VERZE) a se zapnutou funkcí Řízení uživatelských účtů (UAC).
• Nepoužívejte 3ds Max s oprávněním administrátora.
• Udržujte aktuální definice virů.
• Při instalaci zásuvných modulů třetích stran se ujistěte, že nainstalované soubory jsou digitálně podepsány certifikátem vydaným renomovaným zdrojem, jako je například VeriSign.
• Chcete-li ověřit digitální podpis binárního souboru, otevřete dialogové okno Vlastnosti souboru a přejděte na kartu Digitální podpisy. Pokud tato karta chybí, soubor nemá digitální podpis.
• Ověření digitálního podpisu souborů MAXScript naleznete níže - viz Digitální podpisy pro soubory MaxScript.
• Nikdy nespouštějte neznámý soubor MAXScript nebo Python, aniž byste jej nejdříve zkontrolovali na příznaky škodlivého nebo podezřelého kódu.

Digitální podpisy

Digitální podpisy ve spustitelných souborech nebo skriptech prokazují, že vydavatelem (autorem) souboru je daný subjekt a že soubor nebyl od vydání digitálního podpisu změněn - např. do něj nebyl jiným subjektem přidán škodlivý kód.

Následující typy souborů v distribuci produktu 3ds Max jsou spustitelné a jsou digitálně podepsané, aby vás lépe chránily: EXE, DLL, DLZ, DLU, DLO, DLM, DLC, DLI, DLT, DLE, DLV, DLK, DLB, DLF, DLR, BMF, BMI, BMS, FLT, GUP, DLH, DLN, DLA, DLS, DLY, DLX.

Digitální podpis pro spustitelné soubory zobrazíte po kliknutí pravým tlačítkem myši na soubor, klikutím na položku Vlastnosti, kartu Digitální podpisy, jméno podpisujícího a tlačítko Podrobnosti a poté Zobrazit certifikát.

Digitální podpisy a soubory MAXScript

Všechny soubory MAXScript dodávané s 3ds Max jsou podepsány digitálním certifikátem. Podepsaný skript umožňuje uživatelům ověřit, kdo napsal skript a zda byly provedeny změny po jeho podpisu.

Typy souborů, které lze podepsat, jsou:

• Soubory MAXScript: .ms, .mxs, .mcr
• Zdroje souborů MAXScript: .ms.res, .mxs.res, .mcr.res

3ds Max je dodáván také s ověřovacím nástrojem AdskSignTool.exe, kterým můžete ověřit tyto soubory. Obecnou zprávu o jeho používání můžete zobrazit spuštěním programu AdskSignTool bez jakýchkoli argumentů.

3ds Max Security Tools

Nástroj 3ds Max Security Tools je součástí 3ds Max od verze 3ds Max 2019.2 (2020). Zajišťuje detekci (a "vakcinaci") potenciálně nebezpečných skriptů CRP, ADSL, ALC. Nástroj funguje i v nedialogovém, tichém režimu 3ds Max (při spuštění 3dsmax.exe -silent), kdy detekci a vyčištění protokoluje zápisem události do logu max.log.

Pro starší 3ds Max (2015-2019.1) jsou Security Tools k dispozici formou bezplatné doplňkové aplikace na Autodesk Apps.