Firefox PDF-tittare kan öka säkerheten genom tråkiga hackare

En inbyggd PDF-visningskomponent baserad på JavaScript och HTML5 Web-teknik har lagts till i betaversionen av Firefox 19, sade Mozilla fredag.

Browsermaskinen beskrev den inbyggda PDF-tittaren som säkrare och säkrare än proprietära PDF-pluginprogram, som de som installerats av Adobe Reader eller Foxit Reader. Men flera säkerhetsexperter noterade att det förmodligen inte kommer att vara fria från sårbarheter.

"Under flera år har det funnits flera plugins för visning av PDF-filer i Firefox," sade Mozilla Engineering Manager Bill Walker och Mozilla Software Engineer Brendan Dahl Fredag ​​i ett blogginlägg. "Många av dessa plugins kommer med proprietär sluten källkod som potentiellt kan utsätta användare för säkerhetsproblem. PDF-plugin-program har också en extra kod för att göra många saker som Firefox redan gör bra utan någon egen kod, till exempel teckning av bilder och text."

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Den inbyggda PDF-tittaren som testas för närvarande härrör från ett Mozilla Labs-projekt som heter PDF.js. "PDF.js-projektet visar tydligt att HTML5 och JavaScript nu är tillräckligt kraftfulla för att skapa applikationer som tidigare bara kan skapas som inhemska program," sa Mozilla-programvaruteknikerna. "Inte bara laddar de flesta PDF-filer och gör det snabbt, de kör säkert och har ett gränssnitt som känns hemma i webbläsaren."

Eftersom tittaren använder standard HTML5-API (gränssnitt för applikationsprogrammering) kan den också köras i olika webbläsare och på olika plattformar, som tabletter och mobiltelefoner. En live-demo av betraktaren som körs som en webbapplikation finns på PDF.js webbplats.

"Den PDF.js-baserade visningsprogrammet i Firefox Beta är det första steget till att det blir en helt integrerad funktion i versionen av Firefox så dess fördelar kan avnjutas av alla Firefox-användare, säger Mozilla-programvaruteknikerna.

Mozilla klargjorde inte huruvida den här tittaren kommer att användas som standard även om en PDF-plugin för tredje part installeras. Företaget svarade inte omedelbart på en begäran om kommentarer.

Mindre inbjudande till hackare

Säkerhetsexperter tror att den inbyggda PDF-tittaren ger mer säkerhet för användarna, men inte nödvändigtvis för att det inte kommer att vara benägen att Sårbarheter som plugin-program för invändare för PDF-tittare är.

En sådan implementering kan ge mer säkerhet till slutanvändaren eftersom dess användarbas blir mindre jämfört med Adobe Reader, och cyberkriminella kommer fortsätta att fokusera på att utnyttja de mest populära programvaror, Stefan Tanase, en senior säkerhetsforskare hos antivirusleverantören Kaspersky Lab, sa via e-post. "Jag är angelägen om att Firefox ser extra ut på användarnas säkerhet, men det är oroväckande för mig att även den teknik som PDF.js bygger på kan vara sårbar."

Tanase påpekade att sårbarheter i webbläsarens JavaScript återgivningsmotorn är inte ovanligt. Som ett exempel pekade han på CVE-2013-0750, en sårbarhet för fjärrkörning av kod som var fastställd i Firefox 18 för några dagar sedan. Sårbarheten härrör från en bugg i det sätt som webbläsaren beräknar längden för en JavaScript-strängkonkatation.

Denna sårbarhet är inte undantaget utan snarare regeln, sade Tanase. "Liknande är upptäckta varje år, i mestadels varje produktversion och de kan alla användas av angripare att köra kod och installera programvara, vilket kräver ingen användarinteraktion utöver normal browsing."

Den här PDF-tittarkomponenten kan vara säkrare än tredje -party-plugin-moduler om det är skrivet helt i JavaScript / HTML5, säger Thomas Kristensen, chefens säkerhetsansvarig för sårbarhetsintelligensleverantör Secunia, via e-post.

Säkerhetsproblem kvarstår

Men det betyder inte att det inte är utsatt för sårbarheter, sa han. "Om ny funktionalitet har lagts till i webbläsaren eller PDF-läsaren annars blir privilegierad i webbläsaren, kan den vara sårbar och bli en ny vektor för att utnyttja dessa sårbarheter i webbläsaren."

"Jag finner tekniskt sett det är väldigt intressant att de skapar en PDF-tittare som utnyttjar webbläsarens befintliga kapacitet, säger Carsten Eiram, chefforskare vid säkerhetsrådgivningsföretaget Risk Based Security, via e-post. "Eftersom webbläsare nu är så avancerade med HTML5 och JavaScript-stöd att de faktiskt kan analysera PDF-filer kan det göra att ha en separat PDF-tittare meningslös för de flesta användare, som bara behöver grundläggande PDF-visningsfunktioner."

Generellt sett desto mindre kod det finns på ett system, desto mindre utsatt är det för potentiella attacker, sade Eiram. Med den här inbyggda PDF-tittarkomponenten istället för att installera en separat PDF-läsarepplikation som ofta innehåller funktioner som många användare inte behöver och som kan vara sårbara, minskar systemets övergripande angreppsytan, sa han.

Tanase instämmer också med denna teori. "Det finns en klar fördel för att använda samma renderingsmotor för både webbsidor och PDF-filer som måste påpekas: kodbasen är mindre, därför är attackytan och den potentiella risken sänkt," sa han.

Eiram tror att Det kommer att komma ner till hur solid JavaScript och HTML5-implementeringarna finns i webbläsaren. "Jag förväntar mig att eventuella sårbarheter i dessa implementeringar påverkar PDF-tittaren också," sa han.

Lyckligtvis, om sådana sårbarheter hittas, faller jobbet för att fixa dem till webbläsarens leverantör. Browserns beslutsfattare, särskilt Mozilla och Google, har en mycket bra historia om hanteringen av sårbarheter och har historiskt haft bättre uppdateringsmekanismer än tredjeparts plugin-leverantörer, säger Tanase.