Chrome vous avertit souvent que "Ce type de fichier peut endommager votre ordinateur" lorsque vous essayez de télécharger quelque chose, même s'il s'agit d'un fichier PDF . Mais comment un fichier PDF peut-il être aussi dangereux? Un PDF n'est-il pas simplement un document contenant du texte et des images?

Les lecteurs de PDF comme Adobe Reader ont été à l'origine de nombreuses failles de sécurité au fil des ans. C'est parce qu'un fichier PDF n'est pas seulement un document - il peut contenir des scripts, des médias intégrés et d'autres choses douteuses.

Les PDF ne sont pas seulement des documents

Le format de fichier PDF est en réalité très compliqué. Il peut contenir beaucoup de choses, pas seulement du texte et des images, comme vous pouvez vous y attendre. PDF prend en charge de nombreuses fonctionnalités qui ne devraient pas, qui ont ouvert de nombreuses failles de sécurité dans le passé.

• JavaScript : Les fichiers PDF peuvent contenir du code JavaScript, qui est la même langue que les pages Web de votre navigateur. Les fichiers PDF peuvent être dynamiques et exécuter du code qui modifie le contenu du PDF ou manipule les fonctionnalités du lecteur PDF. Historiquement, de nombreuses vulnérabilités ont été causées par des fichiers PDF utilisant du code JavaScript pour exploiter Adobe Reader. L'implémentation JavaScript d'Adobe Reader contient même des API JavaScript spécifiques à Adobe, dont certaines n'étaient pas sécurisées et ont été exploitées.
• Flash intégré : les fichiers PDF peuvent contenir du contenu Flash intégré. Toute vulnérabilité dans Flash pourrait également être utilisée pour compromettre Adobe Reader. Jusqu'au 10 avril 2012, Adobe Reader contenait son propre Flash Player. Les failles de sécurité corrigées dans le Flash Player principal n'ont peut-être pas été corrigées dans le lecteur Flash Player d'Adobe Reader jusqu'à des semaines plus tard, laissant les failles de sécurité largement ouvertes à l'exploitation. Adobe Reader utilise désormais le lecteur Flash installé sur votre système plutôt qu'un lecteur interne
• Actions de lancement : les fichiers PDF pouvaient lancer n'importe quelle commande après avoir ouvert une fenêtre de confirmation. Dans les anciennes versions d'Adobe Reader, un fichier PDF pouvait tenter de lancer une commande dangereuse tant que l'utilisateur cliquait sur OK. Adobe Reader contient désormais une liste noire qui empêche les fichiers PDF de lancer des fichiers exécutables

• GoToE : les fichiers PDF peuvent contenir des fichiers PDF intégrés, qui peuvent être cryptés. Lorsqu'un utilisateur charge le fichier PDF principal, il peut immédiatement charger son fichier PDF incorporé. Cela permet aux pirates de cacher des fichiers PDF malveillants dans d'autres fichiers PDF, trompant les scanners antivirus en les empêchant d'examiner le fichier PDF caché.
• Embedded Media Controls : Outre Flash, les fichiers PDF pouvaient contenir Windows Media Player, RealPlayer , et les médias QuickTime. Cela permettrait à un PDF d'exploiter les vulnérabilités de ces contrôles de lecteur multimédia embarquables.

Le format de fichier PDF offre de nombreuses autres fonctionnalités qui augmentent la surface d'attaque, notamment la possibilité d'incorporer n'importe quel fichier dans un fichier PDF.

La sécurité PDF a été améliorée

Vous devriez maintenant comprendre pourquoi les fichiers Adobe Reader et PDF ont été à l'origine de nombreuses failles de sécurité. Les fichiers PDF peuvent ressembler à des documents simples, mais ne soyez pas trompés - il pourrait y avoir beaucoup plus de choses sous la surface.

La bonne nouvelle est que la sécurité PDF s'est améliorée. Adobe a ajouté un bac à sable nommé «Mode protégé» dans Adobe Reader X. Le PDF est ainsi exécuté dans un environnement limité et verrouillé dans lequel il n'a accès qu'à certaines parties de votre ordinateur et non à l'ensemble de votre système d'exploitation. Il est similaire à la façon dont le sandboxing de Chrome isole les processus de pages Web du reste de votre ordinateur. Cela crée beaucoup plus de travail pour les attaquants. Ils n'ont pas seulement à trouver une faille de sécurité dans la visionneuse PDF - ils doivent trouver une faille de sécurité et ensuite utiliser une seconde faille de sécurité dans le bac à sable pour échapper au bac à sable et endommager le reste de votre ordinateur. Ce n'est pas impossible à faire, mais beaucoup moins de failles de sécurité ont été découvertes et exploitées dans Adobe Reader depuis l'introduction du sandbox.

Vous pouvez également utiliser des lecteurs PDF tiers qui ne prennent généralement pas en charge toutes les fonctionnalités PDF. Cela peut être une bénédiction dans un monde où le PDF contient autant de fonctionnalités discutables. Chrome a une visionneuse PDF intégrée qui utilise son bac à sable, tandis que Firefox a son propre visualiseur PDF intégré entièrement écrit en JavaScript, de sorte qu'il fonctionne dans le même environnement de sécurité qu'une page Web normale.

Alors que nous pouvons nous demander si les fichiers PDF devraient vraiment être en mesure de faire toutes ces choses, la sécurité PDF a au moins amélioré. C'est plus que ce que nous pouvons dire pour le plug-in Java, qui est terrible et qui est actuellement le principal vecteur d'attaque sur le web. Chrome vous avertit avant d'exécuter le contenu Java si le plug-in Java est également installé.

Comment supprimer votre nom des moteurs de recherche

Vous cherchez un moyen de supprimer votre nom de Google? Avez-vous essayé de Google votre propre nom récemment? Quelque chose d'inapproprié ou dommageable vient que vous préférez ne pas apparaître dans la première page pour tout le monde à voir? Googling mon propre nom apporte beaucoup de résultats, surtout tous liés à ma profession de blogging en ligne.Heureuseme

(How-to)

JavaScript n'est pas Java - C'est beaucoup plus sûr et beaucoup plus utile

Vous avez probablement entendu parler de la façon dont le plug-in du navigateur Java n'est pas sécurisé. 91% des compromis du système en 2013 étaient contre ce plug-in Java non sécurisé. Mais Java n'est pas la même chose que JavaScript - en fait, ils ne sont pas vraiment liés. La plupart de nos lecteurs comprennent probablement la différence, mais tout le monde ne le sait pas.

(how-to)