Hvorfor skal jeg bry meg om PDF-sikkerhet?

Transkript

1 Hvorfor skal jeg bry meg om PDF-sikkerhet? Dette bør du vite for å unngå unødvendig risiko Innhold 1: Programkrasj utgjør en mulighet for angrep 2: Se etter programvare som fullt ut bruker OS-begrensninger for å redusere risikoer 3: Slik evaluerer du en leverandørs tilnærming til sikkerhet 4: Adobe Acrobat X- sikkerhet og resultater fra uavhengige tester 5: Oppsummering I 2010 ble det utført en studie i fem land i Nord-Amerika, Midtøsten/Afrika og Asia der forskere fra Ponemoninstituttet fant at den gjennomsnittlige organisatoriske kostnaden ved databrudd hadde økt til USD 4 millioner en økning på 18 % sammenlignet med året før. En annen studie av 45 USA-baserte organisasjoner viste at nettkriminalitet førte til omtrent ett vellykket angrep hver uke, med en gjennomsnittlig årlig kostnad på USD 3,8 millioner per år per bedrift og så mye som USD 52 millioner på det meste. Det blir stadig enklere for nettkriminelle å angripe bedrifter, men det blir ikke enklere å få fatt i eller straffeforfølge dem. I dag står bedrifter overfor aktive nettangripere som har til hensikt å stjele data, krasje systemer, skade omdømme eller rett og slett vise seg frem med hackingferdighetene sine. Et av hackernes favorittverktøy for angrep viser seg også å være bedriftenes favorittverktøy for håndtering av data, dokumenter og åndsverk: universelt brukte filtyper. Ved å legge inn skadelig kode i filer kan angriperne få innpass i systemer. PDF er blitt en slik universell filtype takket være statusen som en fritt tilgjengelig publiseringsstandard. Mange utviklere har brukt standarden til å opprette sine egne PDF-verktøy, noe som gir nettkriminelle større mulighet til å utføre angrep. Siden hackere prøver å utnytte svakheter i programmene som blir brukt til å opprette og vise PDF-filer, må bedriftene nå utvise årvåkenhet når de skal avgjøre hvilke programmer som kan tillates i bedriftsmiljøet. I dette tekniske dokumentet ser vi på konsekvensene av et databrudd, hvilke programsikkerhetstiltak du bør iverksette for å hindre angrep, og leverandøregenskapene som fører til sikker programvare. Dokumentet inneholder også resultater fra uavhengige sikkerhetstester slik at du kan se hvordan Adobe Acrobat X og Adobe Reader X utkonkurrerer andre PDF-løsninger på markedet når det gjelder å beskytte organisasjoner mot angrep som kan gi katastrofale konsekvenser. Du får se hvorfor sikkerheten til programmene som bedriftene bruker til å vise og opprette PDF-filer, må granskes like grundig som de mest forretningskritiske programmene blant annet ved å stille følgende spørsmål: Hvilke operativsystembegrensninger (OS-begrensninger) er innebygd i programvaren? Inneholder programvaren løsninger som kan forhindre at et krasj blir utnyttet? Hvilke typer prosesser er på plass fra produktutvikling til kvalitetssikring for å takle stadig nye sikkerhetstrusler? Hvordan leverer leverandøren sikkerhet uten at det går på bekostning av funksjonaliteten? Hva skjer etter at programmet er lansert? Fortsetter leverandøren å forbedre produktsikkerheten aktivt? Hvor involvert er leverandøren i det større sikkerhetsfellesskapet? Uten denne typen granskning åpner organisasjonene opp for svært store risikoer. Programkrasj utgjør en mulighet for angrep En av de vanligste tilnærmingene hackere tar, er å mate et system med (forsettlig) skadde filer som forårsaker krasj, vanligvis ved å lure en dokumentmottaker til å tro at en skadd fil er genuin. Krasj er forstyrrende og påvirker produktiviteten, men i utgangspunktet er de ikke skadelige. Det store problemet kommer når angripere prøver å utnytte minnefeil. Hvis et krasj fører til en åpning som angripere kan utnytte, kan de legge inn skadelig kode som vil kjøre på systemet. Det er dette som gir angriperne mulighet til å stjele data som for eksempel kredittkortnumre, installere ondsinnet programvare, slette filer eller endre annen systeminformasjon på en maskin som mangler tilstrekkelig lagdelt forsvar. Denne typen angrep er slett ikke unik for PDF-filtypen. Hackere har brukt den i årevis mot webprogrammer, operativsystemer og alle vanlige programmer og filtyper.

2 Virkningen av et angrepsforsøk kan være minimal hvis organisasjonene har den rette programvaren. Hvis ikke, kan konsekvensene bli katastrofale. Bedriftens omdømme og varemerke kan få uopprettelige skader. Kundene kan miste tilliten og gå over til konkurrentene. Du kan også være juridisk ansvarlig for databrudd og påføres enorme kostnader i form av saksomkostninger, bøter og oppgjør. Disse skrekkscenarioene er dessverre ikke uvanlige. Et raskt nyhetssøk en hvilken som helst dag vil gi deg en rekke historier om organisasjoner som er blitt rammet av sikkerhetsbrudd. Det kan virke som angriperne kun angriper de mest synlige organisasjonene, men også små bedrifter og organisasjoner i offentlig sektor rammes i stadig økende grad, og hackerne sikter seg inn mot bestemte datatyper. Se etter programvare som fullt ut bruker OS-begrensninger for å redusere risikoer De fleste sikkerhetseksperter er enige om at det beste forsvaret er et lagdelt "defense in depth"-basert forsvar, fordi det beskytter på flere fronter ved hjelp av verktøy som er innebygd i både programmet og operativsystemet. Alle de følgende begrensningene bør være til stede i alle PDF-løsninger som du vurderer å ta i bruk i organisasjonen. En løsning med bare noen få av disse funksjonene gir ikke det sikkerhetsnivået som alle disse funksjonene kombinert kan gi. Programsandkasse Med en "sandkasse" oppretter operativsystemet et begrenset miljø for kjøring av programmer med lave rettigheter. Sandkassen beskytter brukernes systemer og hindrer at de blir skadet av ikke-klarerte dokumenter som kan inneholde kjørbar kode. Denne metoden for tilgangskontroll fungerer ved at det tilordnes nivåer av integritet. En prosess som er opprettet med lav integritet, er svært begrenset når det gjelder hvilke objekter den kan få tilgang til. Andre mekanismer som ofte brukes til å skape en programsandkasse, er for eksempel begrensede tokener og jobbobjektsbegrensninger. Data Execution Prevention Data Execution Prevention (DEP) forhindrer plassering av data eller farlig kode i minneplasseringer som er definert som beskyttet av Windows -operativsystemet. DEP utfører minnekontroller av maskin- og programvare. Ikke-kjørbart minne DEP for maskinvare oppretter et unntak når kode kjøres fra en ikke-kjørbar minneplassering (NX-minneplassering). Støttede CPU-er oppnår dette ved å aktivere NX-biten og merke bestemte minneområder som ikke-kjørbare. Sikker strukturert unntakshåndtering DEP for programvare kontrollerer gyldigheten til unntak som er opprettet i et program, for å hindre at ondsinnet kode utnytter funksjonaliteten for unntakshåndtering. Dette kalles sikker strukturert unntakshåndtering (SafeSEH Safe Structured Exception Handling). Address Space Layout Randomization Selv når DEP er aktivert, er det mulig å kjøre kode ved å omdirigere et funksjonskall til adressen til et kjørbart minneområde i prosessen. For å hindre slike angrep er det mulig å bruke funksjonen Address Space Layout Randomization (ASLR). Denne teknikken skjuler minne- og sidefilplasseringene til systemkomponenter, noe som gjør det vanskelig for angriperne å finne og ramme disse komponentene. Både Windows og Mac OS X versjon 10.6 bruker ASLR. Stakkinformasjonskapsler Sikkerhetskontroll av bufferen er et kompilatoralternativ der en stakkinformasjonskapsel legges inn for å hindre utnyttelse i forbindelse med stakkbasert bufferoverflyt. Denne programomfattende informasjonskapselen kopieres mellom de lokale variablene og returadressen. Kompilatoren legger deretter til kode i prologen og epilogen i funksjoner for å stoppe kjøringen hvis informasjonskapselen er endret. Av de tolv testede PDF-løsningene er Adobe Reader X og Adobe Acrobat X de eneste som tilbyr alle de fem sikkerhetslagene som er nødvendige for å hindre utnyttelse av et krasj i Windows. Produkt Sandkasse Stakkinformasjonskapsler NX ASLR SafeSEH Adobe Reader X Adobe Acrobat X 2

3 Andre sikkerhetsfunksjoner Acrobat og Reader tilbyr mange andre begrensningsfunksjoner, blant annet domeneuavhengig beskyttelse og hvite- og svartelisting for JavaScript. Domeneuavhengig beskyttelse begrenser spesifikt forekomsten av domeneuavhengige, skriptbaserte angrep, noe som er blitt mer og mer vanlig på Internett. Hvitelisting gir organisasjoner mulighet til å aktivere JavaScript kun for de klarerte arbeidsflytene, og svartelisting beskytter brukerne mot angrep som er rettet mot spesifikke JavaScript API-kall. Slik evaluerer du en leverandørs tilnærming til sikkerhet Den største sikkerhetsutfordringen IT-avdelingene står overfor, er at sikkerhet er et bevegelig mål. Nye trusler utvikles hver dag. Når sikkerheten til PDF-programvare skal evalueres, er det derfor nødvendig å ta hensyn til både hva leverandøren bygger inn i et produkt i utgangspunktet, og hva leverandøren gjør for å sikre at programvarens sikkerhet forblir robust over tid. Årvåkenhet når det gjelder programvaresikkerhet, innebærer utrettelig testing og korrigering av feil, samtidig med at det må utvikles nye beskyttelsesløsninger for å forsvare seg mot et trussellandskap i rask endring. Hvordan bør en leverandørs tilnærming til utvikling og testing av programvare være? Sikkerhetsdedikerte utviklingsarbeidsgrupper Sikkerhet må være integrert i alle stadier i produktets livssyklus. Proaktive gjennomganger av sikkerhet og kode Proaktiv hendelsesanalyse og -gjennomgang, samt herding av eksisterende kode, forbedrer programsikkerheten ytterligere. Deltakelse i bransjeledende sikkerhetsprogrammer Hyppigere deling av informasjon om produktsårbarheter, for eksempel påvisning av virus og inntrengning, med leverandører av sikkerhetsprogramvare, gir bransjen mulighet til å samarbeide om å redusere risikoen for sårbarheter. Hvordan bør en leverandør støtte oppdateringsprosessen? Forutsigbare tidsplaner for oppdatering Oppdateringer påvirker produktiviteten til IT-medarbeiderne og sluttbrukerne, så de bør gjøres etter en forutsigbar tidsplan og ikke for hyppig for eksempel på samme dag hver måned eller hvert kvartal. Enkel konfigurering etter utrullering En programvareløsning bør ta i bruk verktøy på operativsystemnivå, for eksempel Group Policy i Windows og Property List i Mac OS. Dette vil lette prosessen med å endre innstillinger etter utrullering. Støtte for utrulleringsverktøy I organisasjoner som må oppdatere tusenvis av maskiner, er støtte for utrulleringsverktøy uunnværlig. Spesielt kan støtte for de nyeste systemene for programvarehåndtering, for eksempel Microsoft System Center Configuration Manager (SCCM) og Microsoft System Center Updates Publisher (SCUP), gjøre det enklere og mer effektivt å oppdatere programvare i hele organisasjonen. Hvordan bør en leverandør støtte programvaren etter lansering? Kontinuerlige forbedringer Leverandørene bør fortsette å arbeide proaktivt med å gjøre programvaren mer robust og motstandsdyktig mot angrep i stedet for kun å reagere på eksisterende trusler. Sporadiske oppdateringer bør rulle ut disse forbedringene. Bransjesamarbeid Det er viktig at leverandørene er aktivt involvert i sikkerhetsfellesskapet slik at de kan holde seg oppdatert om de nyeste truslene og innovasjonene som brukes til å håndtere dem. Hvordan bør en leverandør håndtere sikkerhetsproblemer ("bugs")? Gjennomsiktighet Leverandørene må være åpenhjertige om sikkerhetsproblemer og hva de foretar seg for å gjøre programvaren mer motstandsdyktig. Leverandører som tar sikkerhet på alvor, offentliggjør og svarer på trusler proaktivt også kjent som CVE (Common Vulnerabilities and Exposures) i internasjonalt anerkjente databaser som for eksempel National Vulnerability Database. Mangel på offentliggjøring av sårbarheter betyr ikke at et produkt ikke kan utnyttes av hackere. Det kan snarere bety at leverandøren som utgav produktet, ikke har en proaktiv tilnærming til sikkerhet. 3

4 Adobe Acrobat X-sikkerhet og resultater fra uavhengige tester Acrobat X og Reader X er utviklet med sikkerhet i tankene og inneholder bransjeledende sikkerhetsteknikker. Adobe utkonkurrerer andre PDF-løsninger i sikkerhetstester I desember 2011 utførte det uavhengige sikkerhetskonsulentselskapet isec en produktsammenligning der de testet tolv løsninger for visning, oppretting og redigering av PDF-dokumenter, og testen ble publisert i rapporten PDF Product Comparison. Testerne matet hvert produkt med det samme settet av forsettlig skadde filer for å prøve å fremkalle feil. Da det oppstod krasj, ble produktene automatisk klassifisert som utnyttbare eller ikke-utnyttbare. Selv i de sjeldne tilfellene da testingen forårsaket krasj, ble ikke et eneste Reader X- eller Acrobat X-krasj klassifisert som utnyttbart. Det ble registrert kun 7 og 13 unike krasj for henholdsvis Reader X og Acrobat X. Til sammenligning krasjet andre PDF-lesere opptil 134 unike ganger, og andre PDF-skriveprogrammer krasjet opptil 132 unike ganger ved testing med et stort antall PDF-filer. Testerne tilskrev resultatet med null utnyttbare krasj til et komplett sett av OS-begrensninger og lagdelte forsvarsteknologier i Reader X og Acrobat X, blant annet programsandkasse, NX-minne, ASLR, SafeSEH og stakkinformasjonskapsler. Enkelte PDF-lesere uten disse OS-begrensningene hadde derimot opptil 16 utnyttbare krasj, og enkelte PDFskriveprogrammer hadde så mange som 22 utnyttbare krasj. I uavhengige tester hadde Reader X og Acrobat X 0 utnyttbare krasj da programmene ble matet med skadde filer. Sikkerhetsfunksjoner som for eksempel sandkasser forhindrer muligheten for utnyttelse når det forekommer krasj. Løsning Antall utnyttbare krasj Adobe Reader X 0 Adobe Acrobat X 0 Adobe investerer i sikkerhet og reduserer antallet ikke-planlagte sikkerhetsoppdateringer Sikkerhetsforbedringer er en del av de omfattende utviklingsinvesteringene Adobe har gjort for å herde Acrobat-familien mot eksisterende og fremtidige trusler. Ved kontinuerlig å gjøre programvaren mer motstandsdyktig mot angrep kan Adobe redusere eller til og med fjerne behovet for ikke-planlagte sikkerhetsoppdateringer og gjøre regelmessig planlagte oppdateringer mindre presserende. Dette gir bedre driftsfleksibilitet og reduserer de totale eierkostnadene, særlig i større miljøer med høye krav til sikkerhet. Når oppdateringer blir tilgjengelige, er Adobes integrering med ledende håndteringsverktøy med på å sikre at administrerte Windows-datamaskiner alltid er oppdatert med de nyeste sikkerhetsoppdateringene, og at selve oppdateringen skjer raskt og enkelt. 4

5 Oppsummering Siden PDF-filtypen kan brukes til å utføre angrep, er lisensiering og utrullering av de rimeligste PDFverktøyene uten nøye granskning av sikkerheten i ferd med å bli en saga blott. Når en organisasjons omdømme og levedyktighet er avhengig av sikkerhetsløsningenes evne til å forsvare systemene ved gjentatte angrep, er det helt avgjørende at de krever en høyere standard fra programleverandørene. Adobe tilbyr omfattende begrensninger som er med på å hindre at angrepene når målene: nyskapende sandkasseteknologi hvitelisting og svartelisting for JavaScript deaktivert domeneuavhengig tilgang effektive oppdateringsfunksjoner forbedrede verktøy for utrullering og administrasjon Adobe fortsetter også å investere i produktene sine lenge etter at de er lansert. Dette bidrar til å gjøre dem enda mer motstandsdyktige, slik at kundene kan føle seg trygge på at sikkerhetstiltakene tilpasses et trussellandskap i stadig endring. Adobe Systems Nordic AB Box 47, Kista, Sverige Adobe, the Adobe logo, Acrobat, and Reader are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States and/or other countries. Mac OS is a trademark of Apple Inc., registered in the U.S. and other countries. Windows is either a registered trademark or a trademark of Microsoft Corporation in the United States and/or other countries. All other trademarks are the property of their respective owners Adobe Systems Incorporated. All rights reserved. Printed in Norway. 2/12