Firefox PDF-visningsprogram kan øke sikkerheten ved kjedelige hackere

En innebygd PDF-visningskomponent basert på JavaScript og HTML5 Web-teknologier er lagt til i betaversjonen av Firefox 19, sa Mozilla fredag.

Nettleserprodusenten beskrev den innebygde PDF-visningsprogrammet som sikrere og sikrere enn proprietære PDF-visningsprogram, som de som ble installert av Adobe Reader eller Foxit Reader. Flere sikkerhetseksperter har imidlertid bemerket at det sannsynligvis ikke vil være fri for sårbarheter.

"I flere år har det vært flere plugins for visning av PDF-filer i Firefox," sa Mozilla Engineering Manager Bill Walker og Mozilla Software Engineer Brendan Dahl. Fredag ​​i et blogginnlegg. "Mange av disse pluginene kommer med proprietær lukket kildekode som potensielt kan utsette brukere for sikkerhetsproblemer. PDF-visningsprogrammer leveres også med ekstra kode for å gjøre mange ting som Firefox allerede gjør bra uten proprietær kode, for eksempel tegning av bilder og tekst."

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Den innebygde PDF-visningsprogrammet som for øyeblikket blir testet stammer fra et Mozilla Labs-prosjekt som heter PDF.js. "PDF.js-prosjektet viser tydelig at HTML5 og JavaScript nå er kraftige nok til å lage programmer som tidligere kun kunne opprettes som egne applikasjoner," sa Mozilla-programvareingeniører. "Ikke bare legger de fleste PDF-filer og gjør det raskt, de kjører sikkert og har et grensesnitt som føles hjemme i nettleseren."

Siden betrakteren bruker standard HTML5 APIer (applikasjonsprogrammeringsgrensesnitt), kan den også kjøre i forskjellige nettlesere og på forskjellige plattformer, som tabletter og mobiltelefoner. En levende demo av seeren som kjører som et webprogram, er tilgjengelig på PDF.js nettsted.

"Den PDF.js drevne visningsprogrammet i Firefox Beta er det første skrittet til det å bli en fullt integrert funksjon innen utgivelsesversjonen av Firefox slik at fordelene kan nytes av alle Firefox-brukere, sa Mozilla-programvareingeniører.

Mozilla klarte ikke å avklare om denne visningen vil bli brukt som standard, selv om en tredjeparts PDF-visningsprogram er installert. Selskapet reagerte ikke umiddelbart på en forespørsel om kommentar.

Mindre innbydende til hackere

Sikkerhetseksperter mener at den innebygde PDF-visningsprogrammet gir mer sikkerhet for brukere, men ikke nødvendigvis fordi det ikke vil være tilbøyelig til sårbarheter som plugin-moduler for tredjeparts PDF-visningsprogram er.

En slik implementering kan gi mer sikkerhet til sluttbrukeren fordi brukerbasen sin blir mindre sammenlignet med Adobe Reader, og cyberkriminelle vil fortsette å fokusere på å utnytte de mest populære stykker av programvare, Stefan Tanase, en senior sikkerhetsforsker hos antivirusleverandøren Kaspersky Lab, sa via e-post. "Mens jeg er spent på å se Firefox som gir ekstra tanke til sikkerheten til brukerne, er det bekymring for meg at selv teknologiene som PDF.js er basert på, kan være sårbare."

Tanase påpekte at sårbarheter i nettleserens JavaScript rendering motor er ikke uvanlig. Som et eksempel pekte han på CVE-2013-0750, et sikkerhetsproblem med ekstern kjøring av kode i Firefox 18 for noen dager siden. Sårbarheten stammer fra en feil i måten nettleseren beregner lengden for en JavaScript-strengkonsentrasjon.

Dette sårbarheten er ikke unntaket, men snarere regelen, sa Tanase. "Lignende som oppdages hvert år, i det meste hver produktversjon, og de kan alle brukes av angriperne til å kjøre kode og installere programvare, og krever ingen brukerinteraksjon utover normal surfing."

Denne PDF-visningskomponenten kan være sikrere enn tredje -party-plugin-moduler hvis den er skrevet helt i JavaScript / HTML5, sier Thomas Kristensen, sjefssikkerhetsofficer ved sikkerhetsinformasjonsleverandøren Secunia, via e-post.

Sikkerhetsproblemer forblir

Dette betyr imidlertid ikke at det ikke er utsatt for sårbarheter, sa han. "Hvis ny funksjonalitet er lagt til i nettleseren eller PDF-leseren ellers blir privilegert i nettleseren, kan den være sårbar og bli en ny vektor for å utnytte disse sikkerhetsproblemene i nettleseren."

"Jeg finner teknisk sett ut det er veldig interessant at de lager en PDF-visningsprogram som bruker nettleserens eksisterende funksjoner, sier Carsten Eiram, sjefforsker ved sikkerhetskonsulentfirmaet Risk Based Security, via e-post. "Siden nettlesere nå er så avanserte med HTML5 og JavaScript-støtte at de faktisk kan analysere PDF-filer, kan det føre til at en egen PDF-visningsløsning er meningsløs for de fleste brukere, som bare trenger grunnleggende PDF-visningskapasiteter."

Generelt er jo mindre kode det er på et system, jo ​​mindre utsatt er det for potensielle angrep, sa Eiram. Ved å bruke denne innebygde PDF-visningskomponenten i stedet for å installere et eget PDF-leserprogram som ofte inneholder funksjoner som mange brukere ikke virkelig trenger, og som kan være sårbare, reduserer systemets samlede angrepsoverflate, sa han. Tanase er også enig med denne teorien. "Det er en klar fordel for å bruke samme gjengivelsesmotor for både websider og PDF-filer som må påpekes: koden er mindre, derfor angripes overflaten og potensiell risiko," sa han.

Eiram mener at det vil komme ned til hvor solid JavaScript og HTML5 implementeringer er i nettleseren. "Jeg forventer at noen sårbarheter i disse implementeringene vil påvirke PDF-visningsprogrammet også," sa han.

Heldigvis, hvis slike sikkerhetsproblemer blir funnet, faller jobben med å fikse dem til nettleserleverandøren. Browser beslutningstakere, spesielt Mozilla og Google, har en veldig god oversikt over håndtering av sårbarheter og har historisk hatt bedre oppdateringsmekanismer enn tredjeparts plugin-leverandører, sa Tanase.