Hoofdcategorieën
Device Settings

Poll

Pdf-viewer in Windows

Vind jij dat Microsoft een veilige pdf-viewer voor Windows beschikbaar moet stellen, zoals F-Secure voorstelt?

Een veilige viewer is welkom, maar waarom moet deze van MS komen?
38,0%
Wat is er nu weer mis met bestaande pdf-lezers?
28,8%
Nee, lijkt me niet de taak van Microsoft
16,7%
Ja, maar niet als losse download maar als Windows-onderdeel via update
9,1%
Ja, pdf-lezers zijn inderdaad structureel onveilig
7,4%

Aantal stemmen: 21.292. Deelname gesloten op 24-05-2010 13:01. Stemmen is niet meer mogelijk.


Reacties

«  1  2  3  »

Ik zie eigenlijk liever een aanpassing van de PDF standaard, waarbij uitvoering en enbedden van javascript en andere files niet meer ondersteund word. Ik snap zowiezo niet waarom dit er uberhaubt in zit!

PDF's zouden uitsluiten in een "afgeschermde" omgeving moeten worden geopend.
Het inderdaad ongelooflijk wat er mogelijk is aan "illegale" activiteiten via een pdf betand. Daarmee doel ik natuurlijk op het runnen van "ongewenste" code.

Als de standaard reader nou alleen in pdf/a "modus" zou werken en alleen door expliciet een instelling te wijzigen de interactieve zooi wordt ingeschakeld dan is het ook opgelost. 99,9% van de mensen zullen die instelling dan toch nooit hoeven te wijzigen. En dan bedoel ik niet een leuke melding waarbij iedereen op “ja” ramt maar gewoon in het instellingen menu.

Is het niet beter om de basis pdf functionaliteit gewoon door de browser (zonder plugin) te laten doen dan? Een moderne browser is als het goed is toch al gesandboxed en als de developers bezig zijn met dingen zoals svg graphcis en HTML5 dan kan basis pdf support er ook nog wel bij.

Als er een feature in het document zit dat de browser niet lust kan de user een melding krijgen dat hij een echte dedicated reader nodig heeft.


Nee hoor, de voorloper van pdf, Postscript, had dat probleem al begin jaren '90 op Unix. Die onveiligheid is precies de reden dat pdf ooit ontwikkeld is. Blijkbaar zijn degenen die die reden nog kennen vertrokken bij Adobe, of overruled door de marketingdroids.

dan maar de windoos bak de deur uit:)

ik heb gestemd "Een veilige viewer is welkom, maar waarom moet deze van MS komen?
" ik zie de link niet tussen een pdf-viewer en Microsoft. het zou ging gek idee zijn als Microsoft er ook een zou maken. maar waarom specifiek van microsoft is in mijn ogen niet helemaal logies .

maar als F-secure aangeeft dat het niet veilig is maak dan is om te laten zien dat het ook veilig kan inplaats van een beetje wijzen naar anderen.

Het hoeft inderdaad niet van MS te komen, als Adobe nou eens een PDF viewer zou maken van 2 MB die supersnel opstart... Maar gezien Adobe's track record denk ik niet dat dat erin zit.

De enige reden die ik zie om het van Microsoft te laten komen is voor het gemak dat het standaard werkt. Er zit (zat?) toch ook standaard een mailclient in Windows? Een text editor (write)? Waarom niet een eenvoudige documentreader voor het dominante formaat? Misschien omdat ze op die positie natuurlijk XPS willen hebben ...

Het hoeft inderdaad niet van MS te komen, als Adobe nou eens een PDF viewer zou maken van 2 MB die supersnel opstart... Maar gezien Adobe's track record denk ik niet dat dat erin zit.
Jij gebruikt zeker nog versie 6 en/of antieke hardware. Sinds versie 7 heb ik geen last meer van trage opstarttijd van Adobe Reader. Wat minder bloat zou wel mogen maar traagheid vind ik echt geen probleem meer.

Ik zou graag nog Acrobat reader 4.0 gebruiken, maar die doet het niet onder Windows 7. Op m'n Linux machine draait hij echter uitstekend.

Een veilige viewer is welkom, maar waarom moet deze van MS komen?
Het pdf/a-formaat, tevens een ISO-norm,..
Hierom dus.. Bovendien waarom vind jij het normaal dat een Windows computer out of the box diverse standaarden 'ondersteund' (tussen aanhalings tekens bij MS), maar niet PDF? Ik vind zowieso dat standaarden als deze verplicht ondersteund moeten worden door MS, nu maken ze hun eigen standaarden die ze vervolgens gesloten houden.. Zoals hun eigen interpretatie van OOXML, Windows media audio en video, Silverlight. Logisch natuurlijk, een commercieel bedrijf zal je altijd proberen vast te pinnen op hun systemen.

Toch vind ik het moeilijk met standaarden, Windows en Europa.
Zo heeft Microsoft ongelofelijk op zijn kop gehad van de EU omdat ze Internet Explorer meeleverde met Windows.
Een programma dat er voor zorgt dan Windows out-of-the-box het HTTP standaard ondersteund.

Maar in verband met oneerlijke concurrentie met Netscape mocht dit dus blijkbaar niet.

Zelfde geld voor Windows Mediaplayer.

Een programma waarmee onder andere ondersteuning voor WAV en MP3 bestanden is toegevoegd. Mag ook niet van de EU.

Ik snap het wel dat het anders oneerlijk wordt.

Maar is hetzelfde probleem ook niet aanwezig met PDF support?
Als marktleider is dit toch ook oneerlijke concurrentie tegenover Adobe / Foxit reader etc.

Ik begrijp je punten maar ik denk dat dit de tegenargumenten zijn:
Een programma dat er voor zorgt dan Windows out-of-the-box het HTTP standaard ondersteund.
IE is teveel verweven met Windows, was niet verwijderbaar en alle links naar het internet in andere programma's openden in IE.
Een programma waarmee onder andere ondersteuning voor WAV en MP3 bestanden is toegevoegd.
Windows Media Player is wel erg uitgebreid voor de basisfunctionaliteit die IMO minimaal met een OS geleverd hoort te worden. Bovendien probeert MS hier weer een vendor lock te creëren door iedereen te proberen afhankelijk te maken van WMA en WMV.
Maar is hetzelfde probleem ook niet aanwezig met PDF support?
Nee dat denk ik niet, het idee is dat MS een basisfunctionaliteit neerzet. Net zoiets als Preview, Apple's basis programma om grafische bestanden te openen, licht gewicht, beperkt in functionaliteit en veelzijdig. Ik kan je vertellen dat Preview een fantastische toevoeging zou zijn aan elk OS. Zonder heel Adobe Acrobat te installeren (en op te starten :X) even een PDF openen.

In het kort, MS moet IMO basis functionaliteit m.b.t. standaarden implementeren. Ze laten zo ruimte open voor ontwikkelaars om uitgebreide pakketten te maken die specifieke taken kunnen vervullen voor veeleisende gebruikers. :)

Inderdaad, Apple doet het hier weer heel erg goed

Voor MS gelden sowieso andere regels omdat zij een dominante speler zijn in de ICT.

Er zijn hier tweakers de altijd AMD zullen blijven kopen, om de concurrentie te steunen tegen Intel. Dat is precies om dezelfde reden: Je wilt niet dat 1 bedrijf de hele markt in handen gaat nemen. In de jaren 90 is MS gegroeid tot een bijna monopolist. Er is toen zelfs sprake geweest om MS op te splitsen. Zelfs de Amerikaanse presidents-verkiezingen zijn hier nog over gegaan.

Dat er zelfs in de USA regels zijn om te voorkomen dat een dominante speler deze positie misbruikt om andere uit de markt te duwen is een geluk.

Enkele malen zijn er al bedrijven opgesplitst in de USA. Te noemen de telecom bedrijven, en de oliemagnaten.

Ik snap de link met windows wel. Daar zit het gros van de gebruikers. Aan ms is voorgesteld om met een veilige manier te komen. De vraagstelling impliceert niet dat zij het ontwikkelen, maar slechts dat ze het beschikbaar stellen. Ontwikkelen is wel de meest voor de hand liggende oplossing. MS is immers zeer goed in het ontwikkelen van software.

ik heb gekozen voor ''Wat is er nu weer mis met bestaande pdf-lezers?''
Ik kan mij ook niks voorstellen bij dit idee van F secure

Zelfde keuze hier, is de reader van o.a. adobe niet veilig dan? als dat zo is mogen er wel heel veel gebruikers over stappen naar wat veiligers!

One Link to rule them all:
http://www.google.nl/search?q=PDF+hack+proof+of+concept

En wat opvul tekst om de link niet in vergetelheid te laten gaan:
Het laat duidelijk zien dat PDF onveilig is.

Ikzelf ben ook al meerdere malen geinfecteerd zonder tussenkomst van mijn muis of toetsenbord door PDF bestanden.

Dat is ook de reden dat ik de PDF plugin uit firefox heb gehaald, omdat die door elke versie heen steeds weer onveilig bleef.

Laten we de rollen eens omdraaien.
F-Secure is het ziek om 30% van hun tijd te steken in PDF exploits.
Waarom moet F-Secure de rotzooi van Adobe opruimen, terwijl Adobe er zelf geen enkele minuut aan verspilt.

One Link to rule them all:
http://www.google.nl/search?q=PDF+hack+proof+of+concept


***EDIT***
First hit:
http://blog.didierstevens.com/2010/03/29/escape-from-pdf/

[Reactie gewijzigd door Yezpahr op maandag 3 mei 2010 14:26]


Ikzelf ben ook al meerdere malen geinfecteerd zonder tussenkomst van mijn muis of toetsenbord door PDF bestanden.
Zonder tussenkomst? Wat voor vulnerability was dat dan? Heb ik nog nooit gehoord of gezien.

Die "hack" past een deel van de tekst van een dialog aan die vraagt of je een bestand wel wilt openen, er staat zelfs nog een tekst boven die zegt dat de bestanden virussen kunnen bevatten als je die opent. Die tekst kan niet aangepast worden. Als je daar in loopt, kom je voor mijn part in aanmerking voor de Darwin award, mooi voorbeeld van survival of the fittest.

Waarom een geheel nieuwe pdf reader trouwens als je gewoon via de settings van adobe reader het gebruik van java script of het openen van externe bijlagen kunt uitzetten? Als adobe by default die dingen uitzet is het opgelost. Diegenen die per se uitgebreide dingen willen doen in een pdf moeten dat maar expliciet aan zetten.

[Reactie gewijzigd door Neverwinterx op maandag 3 mei 2010 17:32]


Ik ben dus zonder dat ik op iets heb geklikt alsnog geïnfecteerd.
Dat kun je proberen omver te lullen of dat kun je accepteren.

PoC's zijn Proof of Concepts. Dat wist je hoop ik al.
Verder is niet alleen PDF de boosdoener.

Het probleem is juist, zoals je zelf al zegt, dat Adobe die poorten niet default sluit.
En zulke lekker zouden er niet eens in mogen zitten.

Speciaal voor jou:

http://news.softpedia.com/news/No-Click-Required-to-Exploit-0-day-Adobe-Reader-Vulnerability-106186.shtml


http://news.softpedia.com/news/Adobe-Reader-Critical-Flaw-Still-Exploitable-with-JavaScript-Disabled-105339.shtml


De datum mag dan beetje verouderd zijn, maar de lekken zijn nog steeds te misbruiken. Probeer zelf maar als je het niet geloofd ;)

[Reactie gewijzigd door Yezpahr op maandag 3 mei 2010 21:42]


Bah zeg dat is heel wat gevaarlijker dan die pas ontdekte vulnerability, dat is heel wat nieuwswaardiger. En als ik dat artikel goed lees hoeft de hack zelfs geen javascript te gebruiken. Het probleem ligt dieper dan waarover F-secure klaagt.

Idd, waarom zou een pdf LEZER veilig moeten zijn? Je LEEST er alleen pdfjes mee... Als je een pdf writer hebt zou ik die wel uitzoeken op "hackability"...

Omdat er kennelijk genoeg PDF lezers zijn die toch code kunnen uitvoeren. Een goede PDF lezer hoort dat niet te kunnen, die van Adobe en Foxit kunnen het wel.

Een snelle, simpele, veilige en gestandaardiseerde reader zou meer dan welkom zijn.

Wie de fabrikant is maakt mij echt niet uit, maar het lijkt mij wel heel goed om deze aan te bieden als Windows Update onderdeel. Op deze manier kun je heel snel en effectief de reader uitrollen.

Alle frutsels die tegenwoordig in Adobe reader zitten doen mij echt niets en gebruik ik nooit. Naast de zoekfunctie zijn er echt geen andere functies die ik nodig ga hebben om wat documentatie door te spitten.

Dit vind ik zeker wel een goed idee!

idd, op mijn pc kon ik adobe niet eens installeren ofzo. Dus maar overgestapt naar Foxit Reader, lekker licht programma.

Maar juist behoorlijk onveilig. Check de linkjes van Yespahr maar eens.
Ik gebruik het ding overigens ook, omdat adobe reader gewoon te traag is, maar echt veilig is het niet.

(Mac os X preview iemand? ;) )

Ik denk dat Adobe het grootste aantal readers ter wereld heeft. Laat hen de zaak "veilig" maken.

Het probleem zit hem echter in de manier waarop programma's geopend worden.

Een onschuldige pdf, jpg of zelfs een beveiligd systeembestand kan een extra .exe bevatten.
Let me google that for you.

Haal javascript uit PDF en je bent een end verder

Je kom vaak belangrijke bedrijfsinformatie tegen via google, gewoon je bent op zoek met een zoekterm en hup, dan kom je zomaar bedrijfsgevoelige informatie tegen (ik werk zelf in bouwkunde; en zo kwam ik een complete begroting in PDF tegen van een aannemer, altijd handig voor jezelf natuurlijk, maar niet slim voor de, meestal onwetende aannemer.)

buiten dat. ja waarom geen open source PDF formaat, en dat secure? ik zoek altijd nog het gat in de markt qua beveiliging online, maar alles is un-cryptbaar, van iris scan tot DNA identificatie uiteindelijk.

Ik mis je punt een beetje. Dat sommige bedrijven hun beveiliging niet op orde hebben staat vast, maar daar kan een PDF-viewer in Windows weinig verandering in brengen, lijkt me.

En ook het formaat staat niet ter discussie maar de vraag hoe een PDF moet worden bekeken. Zelf ben ik wel voor een viewer die alleen het minimale, 'meest veilige' laat zien en die standaard meegeleverd wordt met Windows (al dan niet los of via updates) en alle extra functies overlaten aan uitgebreidere pakketten. Zo zorg je dat de gebruikers die meestal het minste nodig hebben ook de minste risico's lopen.

Gat in de markt qua beveiliging online?
Waar heb je het over?

Het probleem is volgens mij niet zozeer de lezers, maar alle nutteloze rommel die ze onderhand in het pdf protocol geramd hebben.
Wat was er mis aan simpelweg bestandjes bekijken? Daar hoeft toch helemaal geen javascript bij?
Het is bij vragen om ellende

Zit toch standaard in je browser (Opera etc)? Mankeert niets aan.

Die PDF reader in je browser is gewoon de plugin die je normaal geinstalleerde PDF reader installeerd. Adobe Reader (en waarschijnlijk elke andere PDF reader) zit gewoon een browser plugin bij die Opera, FF etc allemaal netjes zullen gebruiken. Opera kan standaard veel, maar (nog) geen PDFs openen

Ik heb gekozen voor "Ja, pdf-lezers zijn inderdaad structureel onveilig".

Als er een ultra-domme PDF preview (alleen de inhoud correct weergeven en printen) in Windows zou zitten dan zou ik Acrobat Reader niet eens meer nodig hebben.

Alle extra opties en functionaliteit zetten de deur open voor misbruik. Niet alleen bij Acrobat Reader, maar bijvoorbeeld ook bij Foxit.
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011