Adobe Systems Inc. a déclaré aujourd’hui la prochaine version de son gratuit Lecteur PDF L’application inclura une nouvelle technologie « sandbox » visant à bloquer l’exploitation de failles de sécurité jusque-là non identifiées dans son logiciel.
Le sandboxing est un mécanisme de sécurité établi qui exécute l’application ciblée dans un environnement confiné qui bloque des actions spécifiques de cette application, telles que l’installation ou la suppression de fichiers ou la modification des informations système. Adobe a déclaré que pour développer la technologie sandbox, il s’est appuyé sur des experts de Microsoft et Google (ce dernier a déjà intégré le sandboxing dans son Chrome navigateur Web).
« L’idée est d’exécuter Reader dans un mode à privilèges inférieurs afin que même si un attaquant trouve un exploit ou une vulnérabilité dans Reader, il s’exécute en mode à droits inférieurs, ce qui devrait bloquer l’installation de [malware]supprimer des éléments du système ou altérer le [Windows] registre », a déclaré Brad Arkindirecteur de la sécurité des produits et de la confidentialité chez Adobe.
Même si elles ne sont que quelque peu efficaces, les nouvelles protections constitueraient une avancée majeure pour l’une des applications logicielles les plus omniprésentes et les plus ciblées du monde informatique. La société envoie constamment des mises à jour pour bloquer les nouvelles attaques : il y a moins d’un mois, Adobe a publié un correctif pour corriger les vulnérabilités que les pirates utilisaient pour s’introduire dans les machines vulnérables. Fournisseur de sécurité McAfee ont constaté qu’environ 28 % de tous les exploits logiciels connus au cours du premier trimestre 2010 vulnérabilités ciblées d’Adobe Reader. Selon le fabricant d’antivirus F-Secure, Reader est désormais l’application la plus exploitée pour Windows.
Reader doit toujours toucher légitimement le système de fichiers sous-jacent afin d’enregistrer des fichiers PDF, mais il sera configuré pour fonctionner via un « processus de courtage » Adobe distinct, de sorte que toute tentative de Reader de communiquer directement avec le système d’exploitation échouera, a déclaré Arkin. .
« Dans un tel système, non seulement l’attaquant devrait trouver une vulnérabilité dans Reader, mais il devrait également effectuer une attaque de deuxième étape du processus Reader au processus courtier », a-t-il déclaré. « Nous avons mis en place un très petit ensemble de politiques pour nous assurer que toute action entreprise par le processus de courtage au nom de Reader est absolument nécessaire au fonctionnement. »
La version initiale ne mettra pas en sandbox les activités « en lecture seule » dans Reader, telles que l’accès au contenu sur le système de l’utilisateur, mais cette fonctionnalité peut être intégrée dans les versions ultérieures.
Arkin a déclaré que la nouvelle fonctionnalité sera activée par défaut et n’affectera pas les performances ou la vitesse de l’application.
« La grande majorité des utilisateurs ne sauront jamais qu’il est là », a déclaré Arkin. « Cela n’augmente pas le nombre de boîtes de dialogue ou de choix, et les utilisateurs devraient pouvoir continuer à interagir avec Reader de la même manière qu’ils l’ont toujours fait. »
Didier Stevenun chercheur en sécurité belge qui a découvert et signalé un certain nombre de vulnérabilités de sécurité dans Reader, a déclaré que les protections prévues par Adobe devraient en effet bloquer la plupart des logiciels malveillants connus basés sur PDF.
« Quand j’ai lu ‘sandboxing de tous les appels d’écriture’, je me suis dit : ‘C’est facile à contourner, par exemple en injectant du code dans un autre processus (par exemple Windows Explorer) et en le laissant écrire sur le disque' », a écrit Stevens dans un e- mail à BreachTrace.com. « Mais ensuite j’ai lu que les appels de registre et de processus sont également en bac à sable, donc l’injection de code dans un autre processus serait bloquée. »
Stevens a déclaré que le processus de courtage pourrait finir par être le maillon le plus faible de l’approche sandbox d’Adobe.
« Si vous pouvez induire en erreur le processus de courtage, vous pouvez toujours y accéder », a déclaré Stevens. « Si des bogues similaires existent dans le processus du courtier, les chercheurs les trouveront bientôt. Et j’espère que ce mécanisme échoue gracieusement : si le processus du courtier tombe en panne, alors chaque action devrait être refusée.
Adobe n’est pas disposé à fixer une date certaine pour la sortie du nouveau lecteur en bac à sable, mais a déclaré qu’il devrait être livré dans la prochaine version, qui devrait sortir avant la fin de l’année. Arkin a déclaré que la fonctionnalité de sandboxing ne sera initialement disponible que pour la version Windows de Reader.
« Notre objectif principal était de protéger le plus grand nombre d’utilisateurs le plus rapidement possible », a déclaré Arkin. « En laboratoire, il est certainement possible de prendre l’un de ces [vulnerabilities] et l’exporter sur une plate-forme différente, mais dans le monde réel, chaque attaque dont nous avons entendu parler l’a été sur une plate-forme Windows.