2min

Adobe heeft vandaag een sandbox voor Adobe Reader en Adobe Acrobat onthuld waarmee het zijn PDF-lezers veiliger wil maken.

De Adobe Protected Mode is een sandboxtechnologie gebaseerd op Microsofts Windows Sandboxing-techniek die ook wordt gebruikt in Google Chrome en de Office 2010 Protected Viewing Mode. Adobe heeft hiervoor nauw samengewerkt met leden van het Microsoft Office-beveiligingsteam, evenals met het Chrome-team bij Google.

Indien de Protected Mode ingeschakeld is, wat standaard het geval zal zijn, worden alle acties nodig om het PDF-bestand weer te geven uitgevoerd met heel lage rechten, de zogenaamde sandbox. Mocht Adobe Reader een actie uitvoeren waarvoor meer rechten zijn vereist, bijvoorbeeld toegang tot het register of andere processen, dan worden die verstrekt door een tussenlaag gebouwd om gevaarlijk gedrag te herkennen. Wil een aanvaller Adobe Reader uitbuiten, dan moet dus een lek worden gevonden in zowel de sandbox als in de tussenlaag.

De eerste versie van de Adobe Reader Protected Mode zal slechts het begin zijn. Straks worden namelijk alleen schrijfacties gesandboxt, waarmee de gevolgen van exploits aanzienlijk verkleind worden. Later is het de bedoeling om ook read-only-activiteiten te beschermen met een sandbox.

"Ziet er op het eerste zicht goed uit", zo vertelt de Belgische PDF-expert Didier Stevens tegenover Security.nl. Hij stelt dat het inderdaad alle bekende PDF-malware zal blokkeren, maar vindt het jammer dat de bescherming van read-only-activiteiten nog op zich laat wachten. "Het is dan nog steeds mogelijk om shellcode te schrijven die informatie op de harde schijf zoekt en deze via het internet terugstuurt. Men kan argumenteren dat het schrijven van dergelijke shellcode niet gemakkelijk is, maar er bestaan technieken om dit toch vlot in C te programmeren, maar dat realiseert Adobe zich ook."

De sandbox zal aanwezig zijn in de volgende grote Windows-versie van Adobe Reader en Acrobat en zal Windows XP, Windows Vista, Windows 7, Windows Server 2003 en Windows Server 2008 ondersteunen. Linux- en Mac-gebruikers moeten het zonder de sandbox doen, omdat die platformen bijna nooit via PDF-bestanden worden aangevallen.