Pembaca PDF seperti Adobe Reader telah menjadi sumber dari banyak kerentanan keamanan selama bertahun-tahun. Ini karena file PDF bukan hanya dokumen - dokumen itu dapat berisi skrip, media yang disematkan, dan hal-hal yang dapat dipertanyakan lainnya.
PDF Bukan Hanya Dokumen
Format file PDF sebenarnya sangat rumit. Ini dapat berisi banyak hal, tidak hanya teks dan gambar, seperti yang Anda harapkan. PDF mendukung banyak fitur yang tidak boleh dibantah, yang telah membuka banyak lubang keamanan di masa lalu.
- JavaScript: PDF dapat berisi kode JavaScript, yang merupakan bahasa yang sama yang digunakan oleh halaman web di browser Anda. PDF dapat bersifat dinamis dan menjalankan kode yang mengubah konten PDF atau memanipulasi fitur penampil PDF. Secara historis, banyak kerentanan disebabkan oleh PDF menggunakan kode JavaScript untuk mengeksploitasi Adobe Reader. Penerapan JavaScript Adobe Reader bahkan berisi API JavaScript khusus Adobe, beberapa di antaranya tidak aman dan telah dieksploitasi.
- Flash yang Disematkan: PDF dapat berisi konten Flash yang disematkan. Kerentanan apa pun di Flash juga dapat digunakan untuk menyusupi Adobe Reader. Hingga 10 April 2012, Adobe Reader berisi Flash Player yang disertakan. Cacat keamanan yang dipasang di Flash Player utama mungkin belum diperbaiki dalam Adobe Flash Player yang dibundel hingga beberapa minggu kemudian, meninggalkan celah keamanan yang terbuka lebar untuk dieksploitasi. Adobe Reader sekarang menggunakan Flash Player yang terpasang di sistem Anda daripada pemutar internal.
- Luncurkan Tindakan: File PDF memiliki kemampuan untuk meluncurkan perintah apa pun setelah memunculkan jendela konfirmasi. Dalam versi Adobe Reader yang lebih lama, file PDF dapat mencoba untuk meluncurkan perintah berbahaya selama pengguna mengklik OK. Adobe Reader sekarang berisi daftar hitam yang membatasi file PDF dari meluncurkan file yang dapat dieksekusi.
- GoToE: File PDF dapat berisi file PDF tertanam, yang dapat dienkripsi. Ketika seorang pengguna memuat file PDF utama, itu bisa segera memuat file PDF yang disematkan. Hal ini memungkinkan penyerang untuk menyembunyikan file PDF berbahaya di dalam file PDF lainnya, membodohi pemindai antivirus dengan mencegah mereka memeriksa file PDF tersembunyi.
- Kontrol Media Tersemat: Selain Flash, PDF secara historis dapat berisi media Windows Media Player, RealPlayer, dan QuickTime. Ini akan memungkinkan PDF untuk mengeksploitasi kerentanan dalam kontrol pemutar multimedia yang dapat disematkan ini.
Ada banyak fitur lain dalam format file PDF yang meningkatkan permukaan serangannya, termasuk kemampuan untuk menanamkan file apa pun di dalam PDF dan menggunakan grafik 3D.
Keamanan PDF Telah Meningkat
Anda sekarang seharusnya mudah-mudahan mengerti mengapa Adobe Reader dan file PDF telah menjadi sumber dari begitu banyak kerentanan keamanan. File PDF mungkin terlihat seperti dokumen sederhana, tetapi jangan tertipu - mungkin ada banyak hal yang terjadi di bawah permukaan.
Kabar baiknya adalah keamanan PDF telah membaik. Adobe menambahkan kotak pasir bernama "Mode Dilindungi" dalam Adobe Reader X. Ini menjalankan PDF dalam lingkungan yang terbatas, terkunci di mana hanya memiliki akses ke bagian-bagian tertentu dari komputer Anda, bukan seluruh sistem operasi Anda. Ini mirip dengan bagaimana kotak pasir Chrome mengisolasi proses laman web dari komputer Anda yang lain. Ini menciptakan lebih banyak pekerjaan untuk penyerang. Mereka tidak hanya harus menemukan kerentanan keamanan dalam penampil PDF - mereka harus menemukan kerentanan keamanan dan kemudian menggunakan kerentanan keamanan kedua di kotak pasir untuk melarikan diri dari kotak pasir dan merusak komputer Anda yang lain. Ini tidak mungkin dilakukan, tetapi kerentanan keamanan yang jauh lebih sedikit telah ditemukan dan dieksploitasi dalam Adobe Reader sejak kotak pasir diperkenalkan.
Meskipun kita dapat bertanya-tanya apakah PDF benar-benar dapat melakukan semua hal ini, keamanan PDF setidaknya telah ditingkatkan. Itu lebih dari yang dapat kami katakan untuk Java plug-in, yang mengerikan dan saat ini merupakan vektor serangan utama di web. Chrome memperingatkan Anda sebelum menjalankan konten Java jika Anda juga menginstal Java plug-in.
