- GoToE: PDF datoteke mogu sadržavati ugrađene PDF datoteke, koje se mogu šifrirati. Kada korisnik učita glavnu PDF datoteku, može odmah učitati svoju ugrađenu PDF datoteku. Ovo omogućava napadačima da sakriju zlonamjerne PDF datoteke unutar drugih PDF datoteka, zavaravajući antivirusne skenere sprečavajući ih da pregledaju skriveni PDF fajl.
- Ugrađene kontrole medija: Osim Flash-a, PDF-ovi su istorijski mogli sadržavati Windows Media Player, RealPlayer i QuickTime medije. Ovo bi omogućilo PDF-u da iskoristi propuste u ovim kontrolama multimedijalnog plejera koji se mogu ugraditi.
Postoji mnogo više funkcija u PDF formatu datoteke koje povećavaju njegovu površinu napada, uključujući mogućnost ugradnje bilo koje datoteke u PDF i korištenje 3D grafike.
PDF sigurnost je poboljšana
Sada biste, nadamo se, trebali shvatiti zašto su Adobe Reader i PDF fajlovi bili izvor tolikog broja sigurnosnih propusta. PDF fajlovi mogu izgledati kao jednostavni dokumenti, ali nemojte se zavaravati - moglo bi se mnogo više dešavati ispod površine.
Dobra vijest je da je sigurnost PDF-a poboljšana. Adobe je dodao sandbox pod nazivom “Protected Mode” u Adobe Reader X. Ovo pokreće PDF u ograničenom, zaključanom okruženju gdje ima pristup samo određenim dijelovima vašeg računara, a ne cijelom vašem operativnom sistemu. To je slično načinu na koji Chromeov sandboxing izoluje procese web stranice od ostatka vašeg računala. Ovo stvara mnogo više posla za napadače. Oni ne moraju samo pronaći sigurnosnu ranjivost u pregledniku PDF-a – oni moraju pronaći sigurnosnu ranjivost, a zatim koristiti drugu sigurnosnu ranjivost u sandboxu kako bi pobjegli iz sandboxa i nanijeli štetu ostatku vašeg računala. Ovo nije nemoguće učiniti, ali mnogo manje sigurnosnih propusta je otkriveno i iskorišteno u Adobe Readeru otkako je sandbox uveden.
Možete koristiti i PDF čitače trećih strana, koji općenito ne podržavaju svaku PDF funkciju. Ovo može biti blagoslov u svijetu u kojem PDF sadrži toliko sumnjivih karakteristika. Chrome ima integrirani PDF preglednik koji koristi svoj sandbox, dok Firefox ima svoj integrirani PDF preglednik napisan u potpunosti u JavaScript-u, tako da radi u istom sigurnosnom okruženju kao i normalna web stranica.
Iako se možemo zapitati da li bi PDF-ovi zaista trebali biti u mogućnosti da rade sve ove stvari, sigurnost PDF-a je barem poboljšana. To je više nego što možemo reći za Java plug-in, koji je užasan i trenutno je primarni vektor napada na webu. Chrome vas upozorava prije pokretanja Java sadržaja ako imate instaliran i Java dodatak.
