Car-tech

De PDF-viewer van Firefox kan de veiligheid vergroten door saaie hackers

How to Disable the native PDF viewer in Firefox Step BY Step Tutorial

How to Disable the native PDF viewer in Firefox Step BY Step Tutorial

Inhoudsopgave:

Anonim

Een ingebouwde PDF-viewercomponent op basis van JavaScript- en HTML5-webtechnologieën is toegevoegd aan de bètaversie van Firefox 19, zei Mozilla vrijdag.

De browser-maker beschreef de ingebouwde PDF-viewer als veiliger en veiliger dan proprietaire PDF-weergaveplug-ins, zoals die geïnstalleerd door Adobe Reader of Foxit Reader. Verschillende beveiligingsexperts merkten echter op dat het waarschijnlijk niet vrij is van kwetsbaarheden.

"Gedurende een aantal jaren zijn er verschillende plug-ins geweest voor het bekijken van PDF's in Firefox," aldus Bill Walker, Mozilla Software Engineer Brendan Dahl, Vrijdag in een blogpost. "Veel van deze plug-ins worden geleverd met een eigen gesloten broncode die gebruikers mogelijk kwetsbaar maakt voor de veiligheid. PDF-weergaveplug-ins krijgen ook extra code om veel dingen te doen die Firefox al goed doet zonder eigen code, zoals het tekenen van afbeeldingen en tekst."

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

De ingebouwde PDF-viewer die momenteel wordt getest, is afkomstig van een Mozilla Labs-project met de naam PDF.js. "Het PDF.js-project laat duidelijk zien dat HTML5 en JavaScript nu krachtig genoeg zijn om applicaties te maken die voorheen alleen als native applicaties konden worden gemaakt", aldus de Mozilla-software-engineers. "Niet alleen laden en renderen de meeste PDF's snel, ze werken ook veilig en hebben een interface die zich thuis voelt in de browser."

Omdat de viewer standaard HTML5 API's (application programming interfaces) gebruikt, kan deze ook in verschillende browsers en op verschillende platforms, zoals tablets en mobiele telefoons. Een live demo van de kijker die wordt uitgevoerd als een webtoepassing is beschikbaar op de PDF.js-website.

"De PDF.js actieve viewer in Firefox Beta is de eerste stap naar een volledig geïntegreerde functie binnen de releaseversie van Firefox dus alle gebruikers van Firefox kunnen profiteren van deze voordelen ", aldus de Mozilla-software-engineers.

Mozilla heeft niet duidelijk gemaakt of deze viewer standaard zal worden gebruikt, zelfs in gevallen waarin een PDF-weergaveplug-in van derden is geïnstalleerd. Het bedrijf reageerde niet onmiddellijk op een verzoek om commentaar.

Minder uitnodigend voor hackers

Beveiligingsdeskundigen zijn van mening dat de ingebouwde PDF-viewer meer veiligheid biedt voor gebruikers, maar niet noodzakelijkerwijs omdat het niet gevoelig is voor kwetsbaarheden als PDF-viewer-invoegtoepassingen van derden.

Een dergelijke implementatie kan de eindgebruiker meer veiligheid bieden, omdat de gebruikersbasis kleiner zal zijn in vergelijking met die van Adobe Reader en cybercriminelen zich zullen blijven richten op het exploiteren van de populairste stukjes software, Stefan Tanase, senior beveiligingsonderzoeker bij antivirus-leverancier Kaspersky Lab, zei via e-mail. "Hoewel ik verheugd ben dat Firefox extra aandacht besteedt aan de veiligheid van zijn gebruikers, is het mij wat mij zorgen baart dat zelfs de technologieën waarop PDF.js is gebaseerd kwetsbaar kunnen zijn."

Tanase wees op de kwetsbaarheden in het JavaScript van de browser rendering engine zijn niet ongewoon. Hij wees bijvoorbeeld op CVE-2013-0750, een beveiligingslek met betrekking tot het uitvoeren van externe code dat enkele dagen geleden in Firefox 18 werd opgelost. Het beveiligingslek komt voort uit een fout in de manier waarop de browser de lengte berekent voor een aaneenschakeling van JavaScript-tekenreeksen.

Dit beveiligingslek vormt geen uitzondering, maar eerder de regel, zei Tanase. "Gelijkaardige versies worden elk jaar ontdekt, in bijna elke productversie en ze kunnen allemaal door aanvallers worden gebruikt om code uit te voeren en software te installeren, waardoor er geen gebruikersinteractie nodig is buiten het normale browsen."

Dit PDF-viewer-onderdeel zou veiliger kunnen zijn dan derde -Party-plug-ins als het volledig in JavaScript / HTML5 is geschreven, zei Thomas Kristensen, de hoofdbeveiligingsfunctionaris van Secunia, leverancier van vulnerability intelligence, via e-mail.

Beveiligingsproblemen blijven

Dit betekent echter niet dat het niet kwetsbaar is, zei hij. "Als er nieuwe functionaliteit aan de browser is toegevoegd of de PDF-lezer anders in de browser bevoorrecht wordt, dan is deze mogelijk kwetsbaar en een nieuwe vector om deze kwetsbaarheden in de browser te misbruiken."

"Vanuit technisch oogpunt vind ik het is heel interessant dat ze een PDF-viewer maken die gebruikmaakt van de bestaande mogelijkheden van de browser, "zei Carsten Eiram, de hoofdonderzoeker bij beveiligingsadviesbureau Risk Based Security, via e-mail. "Aangezien browsers nu zo geavanceerd zijn met HTML5- en JavaScript-ondersteuning dat ze PDF-bestanden daadwerkelijk kunnen parseren, kan het maken van een afzonderlijke PDF-viewer zinloos zijn voor de meeste gebruikers, die gewoon basisfunctionaliteit voor PDF-weergave nodig hebben."

Over het algemeen geldt dat hoe minder code is er op een systeem, hoe minder blootgesteld het is aan potentiële aanvallen, zei Eiram. Met behulp van deze ingebouwde PDF-viewercomponent in plaats van een afzonderlijke PDF-readerapplicatie te installeren die vaak functies bevat die veel gebruikers niet echt nodig hebben en die kwetsbaar kunnen zijn, vermindert het totale aanvalsoppervlak van het systeem.

Tanase is het ook eens met deze theorie. "Er is een duidelijk voordeel voor het gebruik van dezelfde renderingsengine voor zowel webpagina's als PDF's waarop moet worden gewezen: de codebasis is kleiner, waardoor het aanvalsoppervlak en het potentiële risico worden verkleind", zei hij.

Eiram is van mening dat het komt erop neer hoe solide de JavaScript- en HTML5-implementaties in de browser zijn. "Ik zou verwachten dat eventuele kwetsbaarheden in deze implementaties ook de PDF-viewer beïnvloeden", zei hij.

Gelukkig, als dergelijke kwetsbaarheden worden aangetroffen, valt de taak om ze te repareren onder bij de browserverkoper. Browser makers, vooral Mozilla en Google, hebben een zeer goed track record in het beheren van kwetsbaarheden en hebben in het verleden betere updatemechanismen gehad dan externe plug-in leveranciers, zei Tanase.