なぜChromeはPDFファイルがあなたのコンピュータに害を及ぼすことができると言いますか？

何かをダウンロードしようとすると、たとえそれがPDFファイルであっても、Chromeはしばしば「この種のファイルはあなたのコンピュータに害を及ぼす可能性がある」と警告します。しかし、PDFファイルはどうしてこんなに危険になる可能性があります - PDFだけでテキストと画像を含む文書ではありません?

Adobe ReaderのようなPDFリーダーは、長年にわたって多くのセキュリティ上の脆弱性の原因となってきました。これは、PDFファイルは単なる文書ではないためです。スクリプト、埋め込みメディア、その他の疑わしいものが含まれている可能性があります。.

PDFは単なる文書ではありません

PDFファイル形式は実際には非常に複雑です。ご想像のとおり、テキストや画像だけでなく、さまざまなものを含めることができます。 PDFは、それが間違いなくすべきではない多くの機能をサポートしています。これは過去に多くのセキュリティホールを開けました.

• JavaScript：PDFにはJavaScriptコードを含めることができます。これは、ブラウザのWebページで使用されているのと同じ言語です。 PDFは動的で、PDFの内容を変更したりPDFビューアの機能を操作したりするコードを実行することができます。歴史的に、Adobe Readerを悪用するためにJavaScriptコードを使用しているPDFによって多くの脆弱性が引き起こされてきました。 Adobe ReaderのJavaScript実装には、アドビ固有のJavaScript APIも含まれています。そのうちのいくつかは安全ではなく、悪用されています。.
• 内蔵フラッシュ：PDFにはFlashコンテンツを埋め込むことができます。 Flashのいかなる脆弱性もAdobe Readerを危険にさらすために使用される可能性があります。 2012年4月10日まで、Adobe Readerには独自のFlash Playerがバンドルされていました。メインのFlash Playerで修正されたセキュリティ上の欠陥は、数週間後までAdobe ReaderのバンドルされたFlash Playerで修正されていない可能性があり、悪用のためにセキュリティホールが広く開いたままになっています。 Adobe Readerは、内蔵プレーヤーではなく、システムにインストールされているFlash Playerを使用するようになりました.
• 起動アクション：PDFファイルは確認ウィンドウをポップアップした後に任意のコマンドを起動する機能を持っていました。旧バージョンのAdobe Readerでは、ユーザーが「OK」をクリックしている限り、PDFファイルが危険なコマンドを起動しようとする可能性がありました。 Adobe ReaderにPDFファイルが実行ファイルを起動するのを制限するブラックリストが追加されました.

• GoToE：PDFファイルには埋め込みPDFファイルを含めることができます。これは暗号化できます。ユーザーがメインPDFファイルをロードすると、すぐに埋め込みPDFファイルをロードできます。これにより、攻撃者は悪意のあるPDFファイルを他のPDFファイル内に隠し、隠しPDFファイルを調べられないようにしてウイルス対策スキャナを欺くことができます。.
• 埋め込みメディアコントロール注意：Flashに加えて、PDFには従来、Windows Media Player、RealPlayer、およびQuickTimeメディアが含まれていました。これにより、PDFはこれらの埋め込み型マルチメディアプレーヤーコントロールの脆弱性を不正利用することが可能になります。.

PDF内に任意のファイルを埋め込んで3Dグラフィックを使用する機能など、攻撃の危険性を高めるPDFファイル形式には、さらに多くの機能があります。.

PDFのセキュリティが向上しました

Adobe ReaderとPDFファイルが非常に多くのセキュリティ上の脆弱性の原因となっている理由を理解しておいてください。 PDFファイルは単純な文書のように見えるかもしれませんが、だまされてはいけません。.

良いニュースは、PDFのセキュリティが向上したことです。アドビシステムズ社はAdobe Reader Xに「保護モード」というサンドボックスを追加しました。これにより、オペレーティングシステム全体ではなく、コンピュータの特定の部分にしかアクセスできない制限付きのロックダウン環境でPDFが実行されます。 Chromeのサンドボックス化がWebページプロセスを他のコンピュータから分離するのと似ています。これは攻撃者にとってより多くの仕事を生み出します。彼らはただPDFビューアでセキュリティの脆弱性を見つける必要はありません - 彼らはセキュリティの脆弱性を見つけ、その後サンドボックスを回避し、あなたのコンピュータの他の部分にダメージを与えるためにサンドボックスの2番目のセキュリティ脆弱性を使用します。これは不可能ではありませんが、サンドボックスが導入されて以来、Adobe Readerで発見され、悪用されるセキュリティ上の脆弱性がはるかに少なくなりました。.

一般的にすべてのPDF機能をサポートしているわけではないサードパーティのPDFリーダーを使用することもできます。 PDFに非常に多くの疑わしい機能が含まれている世界では、これは祝福になる可能性があります。 Chromeにはサンドボックスを使用する統合PDFビューアがあり、Firefoxには完全にJavaScriptで書かれた独自の統合PDFビューアがあるため、通常のWebページと同じセキュリティ環境で動作します。.

PDFが本当にこれらすべてのことを実行できるかどうか私たちは疑問に思うことができますが、PDFのセキュリティは少なくとも向上しました。これは、Javaプラグインについて言うことができる以上のことです。これはひどいもので、現在Web上での主な攻撃ベクトルです。 Javaプラグインがインストールされている場合、ChromeはJavaコンテンツを実行する前に警告を出します。.