Récemment, alors qu'Adobe tentait de verrouiller son programme et de gérer les failles pouvant être exploitées par des pirates, certains experts en sécurité avaient suggéré que le sandboxing pourrait être une idée judicieuse. Sans doute mieux connu pour son utilisation dans le navigateur Chrome de Google, ce procédé permet de cloisonner le traitement des données et même de l'isoler du système de la machine, afin d'empêcher l'exécution d'un code malveillant. Selon Brad Arkin, directeur de la sécurité et de la vie privée chez Adobe, cette solution sera ajoutée dans la prochaine mise à jour importante du Reader (version 10) sous Windows. S'il s'est refusé à communiquer un calendrier précis pour la disponibilité de cette mise à jour, le responsable d'Adobe a néanmoins indiqué que ce serait avant la fin de l'année.

"Avec le sandboxing, toute personne en présence d'un PDF malveillant pourra constater que le code suspect est conservé dans le bac à sable", a déclaré Brad Arkin, à propos de cette technologie, également utilisée par Microsoft dans Internet Explorer 7 et 8, et dans Office 2010. Les attaques restent possibles, mais il faudrait pour cela que le pirate soit en mesure de sortir le logiciel malveillant de la sandbox. Le plug-in du Reader pour navigateur internet permet déjà d'utiliser IE7 et IE8 en mode protégé - Microsoft utilise le terme Protected Mode au lieu de «sandbox» dans son navigateur - et le cloisonnement fonctionne déjà sous Chrome. L'ajout de la sandbox à la version générale, permettra également de protéger les utilisateurs de Firefox et ceux qui utilisent la version stand-alone du Reader PDF.

Des aides extérieures

Dans un premier temps, le Reader triera les requêtes en écriture faites par le programme, de manière à bloquer les tentatives d'inscrire du code dans le système.  Une version ultérieure limitera aussi la lecture seule, afin d'empêcher les tentatives de vol d'informations importantes, comme les numéros de carte de crédit ou les mots de passe. " Dans la première version, tout le processus de rendu d'un fichier PDF se passe dans la sandbox," a déclaré Brad Arkin. Cela comprend aussi  l'analyse du document PDF et des images associées, et l'exécution de JavaScript qui avait servi à exploiter des failles dans Reader.

 

 

Crédit Photo: D.R