PDF-lukijat, kuten Adobe Reader, ovat olleet monien tietoturvahaavoittuvuuksia vuosien varrella. Tämä johtuu siitä, että PDF-tiedosto ei ole vain asiakirja - se voi sisältää komentosarjoja, upotettuja tietovälineitä ja muita kyseenalaisia asioita.
PDF-dokumentit eivät ole vain asiakirjoja
PDF-tiedostomuoto on todella monimutkainen. Se voi sisältää monia asioita, ei pelkästään tekstiä ja kuvia, kuten odotitkin. PDF tukee monia sellaisia ominaisuuksia, joita ei todennäköisesti pitäisi, ja jotka ovat aiemmin avaamassa monia suojausreikiä.
- JavaScript: PDF-tiedostot voivat sisältää JavaScript-koodia, joka on sama selaimesi verkkosivujen käyttämä kieli. PDF: t voivat olla dynaamisia ja ajaa koodia, joka muuttaa PDF: n sisältöä tai manipuloi PDF-katseluohjelman ominaisuuksia. Historiallisesti monet PDF-tiedostot ovat aiheuttaneet haavoittuvuuksia JavaScript-koodilla Adobe Readerin hyödyntämiseksi. Adobe Readerin JavaScript-toteutus sisältää jopa Adobe-spesifisiä JavaScript-sovellusliittymiä, joista osa on epävarmoja ja niitä on hyödynnetty.
- Sulautettu salama: PDF-tiedostot voivat sisältää upotettua Flash-sisältöä. Kaikki Flash-heikkoutta voitaisiin myös käyttää Adobe Readerin kompromissin. 10. huhtikuuta 2012 asti Adobe Reader sisälsi oman Flash Playerin. Suurin Flash Playerin vahvistamia tietoturva-aukkoja ei välttämättä ole korjattu Adoben Readerin Flash Player -versioon vasta viikkoa myöhemmin, jolloin tietoturva-aukot ovat avoimia hyväksikäytölle. Adobe Reader käyttää nyt järjestelmään asennettua Flash Player -ohjelmaa eikä sisäistä soitinta.
- Käynnistä toimet: PDF-tiedostot pystyivät käynnistämään minkä tahansa komennon, kun ponnahdusikkunan avaaminen alkoi. Vanhemmissa Adobe Reader -versioissa PDF-tiedosto voisi yrittää käynnistää vaarallisen komennon niin kauan kuin käyttäjä napsautti OK. Adobe Reader sisältää nyt mustan listan, joka rajoittaa PDF-tiedostoja suoritettavien tiedostojen käynnistämisestä.
- GoToE: PDF-tiedostot voivat sisältää sulautettuja PDF-tiedostoja, jotka voidaan salata. Kun käyttäjä lataa tärkeimmät PDF-tiedostot, se voi ladata sen sulautetun PDF-tiedoston välittömästi. Tämä auttaa hyökkääjiä piilottamaan haittaohjelmia PDF-tiedostoja muiden PDF-tiedostojen sisällä, huijaamalla virustentorjuntasovelluksia estämällä heitä tutkimasta piilotettua PDF-tiedostoa.
- Sulautetut mediasäätimet: Flashin lisäksi PDF-tiedostoissa voi olla historiallisesti Windows Media Player, RealPlayer ja QuickTime-media. Tämä mahdollistaa PDF: n hyödyntävän näiden sulautettujen multimediasoittimien haavoittuvuuksia.
PDF-tiedostomuodossa on monia muita ominaisuuksia, jotka lisäävät sen hyökkäyspinta, mukaan lukien kyky upottaa minkä tahansa tiedoston PDF-tiedostoon ja käyttää 3D-grafiikkaa.
PDF-turvallisuus on parantunut
Sinun pitäisi nyt toivottavasti ymmärtää, miksi Adobe Reader- ja PDF-tiedostot ovat aiheuttaneet niin monta tietoturvahaavaa. PDF-tiedostot voivat näyttää yksinkertaisilta asiakirjoilta, mutta älä pettäisi - pinnan alla voisi olla paljon enemmän.
Hyvä uutinen on, että PDF-tietoturva on parantunut. Adobe lisäsi Adobe Reader X: ssä hiekkalaatikko nimeltä "Suojattu tila". Tämä toimii PDF: ssä rajoitetussa, lukitussa ympäristössä, jossa sillä on pääsy vain tiettyihin tietokoneen osiin, ei koko käyttöjärjestelmään. Se on samanlainen kuin Chromen hiekkalaatikko eristää verkkosivun prosesseja muusta tietokoneesta. Tämä luo paljon enemmän töitä hyökkääjille. Heidän ei tarvitse löytää PDF-katseluohjelmasta tietoturva-heikkoutta, vaan heidän on löydettävä tietoturva-aukko ja käytettävä sitten toinen suojausheikkous hiekkalaatikossa, jotta hän ei pääse hiekkalaatikkoon ja vahingoittaisi tietokoneesi loppuosaa. Tämä ei ole mahdotonta, mutta Adobe Readerissa on havaittu ja hyödynnetty paljon vähemmän tietoturvahaavoittuvuuksia, koska hiekkalaatikko on otettu käyttöön.
Vaikka voimme ihmetellä, pitäisikö PDF-tiedostoja todella pystyä tekemään kaikki nämä asiat, PDF-turvallisuus on ainakin parantunut. Tämä on enemmän kuin voimme sanoa Java-plug-inille, joka on kauheaa ja on tällä hetkellä ensisijainen hyökkäysvektori verkossa. Chrome varoittaa sinua ennen Java-sisällön käyttämistä, jos sinulla on myös Java-laajennus.
