Informer Foxit d'un problème de sécurité

Foxit prend la sécurité très au sérieux et a l'ambition de fournir des solutions les plus sécurisées du secteur afin maintenir les données et le système des clients en toute sécurité. La sécurité se présente sous plusieurs formes :

La sécurité est l'une des nombreuses raisons pour lesquelles les personnes, les entreprises et les fabricants d'équipements d'origine adoptent les solutions Foxit pour leurs besoins en PDF.

Sécurité du document

PhantomPDF permet aux auteurs de documents de créer des documents PDF et d'appliquer diverses mesures de sécurité, notamment le chiffrement, le contrôle d'accès, les signatures numériques et le caviardage (suppression permanente de contenu). La facilité d'utilisation et la puissance de ces fonctionnalités fournies par PhantomPDF permettent aux utilisateurs individuels et aux organisations de maintenir leurs informations privées et confidentielles de manière efficace.

Chiffrement

Les normes de sécurité prises en charge par PhantomPDF sont les suivantes :

  • AES (Advanced Encryption Standard) 256 bits
  • ARC4 (ARC-FOUR Encryption Standard) 128 bits

Contrôle d'accès

Les utilisateurs de PhantomPDF peuvent partager facilement des documents en leur appliquant des mots de passe afin d'empêcher toute visualisation non autorisée. En outre, ils peuvent spécifier un contrôle d'accès sur les documents afin d'empêcher de manière efficace toute modification sur ceux-ci, de restreindre leur impression, ou de les falsifier.

Signatures numériques

PhantomPDF permet aux utilisateur de signer numériquement les documents facilement, grâce au plus vaste ensemble de certificats numériques. Cela est possible grâce à l'intégration étroite avec le système d'exploitation sous-jacent, ce qui permet l'utilisation par PhantomPDF de tous les certificats reconnus par le système d'exploitation. Une fois qu'un document est signé correctement, la signature numérique est liée de manière unique au signataire et peut identifier celui-ci. Le certificat du signataire est lié par chiffrement au document pendant l'étape de signature, à l'aide de la clé privée détenue uniquement par ce signataire. Ces signatures numériques sont conformes à la norme PDF ouverte et sont validées par PhantomPDF, de même que l'authenticité des documents qu'elles ont signés, par le biais d'un échange d'informations utilisant un protocole de chiffrement avec les autorités de certificat.

Caviardage

L'ensemble des outils de caviardage de PhantomPDF aide les utilisateurs à protéger leurs informations sensibles ou confidentielles. Grâce aux outils de caviardage, les utilisateurs sont en mesure de supprimer définitivement des informations textuelles et graphiques de leurs documents. Une fois le caviardage terminé, le document ne comporte aucune information résiduelle susceptible d'être récupérée de quelque manière que ce soit.

Sécurité des applications

Outre la sécurité des documents, nous avons conscience, chez Foxit, que le logiciel lui-même peut être la cible d'attaques, et nous prenons donc très au sérieux la sécurité de notre application. À cet effet, nous avons depuis longtemps adopté des mesures et les processus qui constituent les meilleures pratiques du secteur pour garantir la sécurité de notre application, et nous avons également introduit des fonctionnalités et des capacités dans le logiciel lui-même, afin que les utilisateurs puissent se protéger davantage dans des situations particulières.

Meilleures pratiques en matière de sécurité

Toutes les solutions PDF de Foxit sont développées sous la supervision d'un processus interne qui comporte diverses meilleures pratiques de l'industrie. Ces méthodes d'ingénierie informatique couvrent la conception, le développement, les tests et la vérification. Nous simulons en outre des vecteurs d'attaques connues dans des environnements automatisés, nous vérifions que les vulnérabilités de sécurité sont découvertes et corrigées immédiatement au cours du processus de développement interne. De plus, nous disposons d'une équipe dédiée d'experts en sécurité expérimentés, qui a la responsabilité exclusive de la surveillance, du dépannage et de la vérification de l'exécution de l'intégralité du processus.

Exécution de JavaScript soumise à autorisation

La norme PDF autorise l'intégration de fragments de code JavaScript dans les fichiers PDF. Ces fragments de code sont par nature dynamiques et peuvent s'exécuter lorsque les documents PDF sont visualisés par les utilisateurs. Ces exécutions peuvent avoir des effets indésirables pour l'utilisateur et peuvent être considérées comme des préoccupations de sécurité dans les organisations ayant mis en place un niveau élevé de normes de sécurité. Pour garantir une sécurité complète dans de telles situations, PhantomPDF et Foxit Reader autorisent la désactivation de l'exécution de JavaScript, pour les utilisateurs individuels ou pour la totalité de l'organisation, à l'aide de l'ensemble d'outils de déploiement en entreprise de PhantomPDF et Foxit Reader.

Prévention des attaques entre domaines

Foxit reconnaît qu'il existe des risques inhérents associés à l'accès aux ressources entre domaines, une disposition prévue par la norme PDF elle-même, mais utilisée à une époque par des pirates pour récupérer des fragments de code malveillant ou d'autres ressources dans le système d'un utilisateur. Ainsi, PhantomPDF et Foxit Reader ont désactivé ce type d'accès par défaut et mettent en garde les utilisateurs de ne pas utiliser cette option, sauf dans un environnement où la sécurité peut être totalement assurée par d'autres moyens.

Alertes de sécurité

Pour certains fichiers PDF enrichis devant effectuer des opérations avancées dans l'environnement de l'utilisateur, PhantomPDF ou Foxit Reader peut déterminer que certaines de ces opérations comportent un risque supplémentaire plus élevé et peuvent alerter l'utilisateur et demander une confirmation avant de poursuivre ces opérations. Exemples :

  • Appel d'un accès entre domaines
  • Exécution de certains types de méthodes JavaScript
  • Injection de données
  • Injection de scripts
  • Lecture de contenus multimédias intégrés existants.

Ces alertes sont mises en œuvre de manière à être le plus discrètes possible pour l'utilisateur, en permettant à ce dernier de faire confiance au document et d'ignorer ainsi toutes les autres confirmations.

Foxit entretient des relations très étroites avec des groupes et des personnes dans le domaine de la recherche en cybersécurité afin de découvrir de manière active les vulnérabilités détectées dans les produits Foxit et y remédier (par exemple, Zero Day Initiative (Trend Micro), Cisco Talos et des professionnels tels que mr_me). La technologie de Foxit est utilisée par des géants de la technologie comme Google, Microsoft et Amazon. Dans ces projets, la technologie utilisée dans Foxit Reader/PhantomPDF a été scrupuleusement inspectée par des clients et des inspecteurs tiers en matière de sécurité. Foxit dispose d'une réputation excellente en ce qui concerne la correction de toutes les vulnérabilités détectées dans la fenêtre temporelle recommandée par les chercheurs en matière de sécurité. Le temps moyen pour apporter un correctif (environ 90 jours) est meilleur que la moyenne de l'industrie (100 à 120 jours). Foxit dispose d'une équipe de réponses dédiée à la sécurité disponible 24h/24 et 7j/7 afin de surveiller les problèmes de sécurité critiques et d'y apporter une réponse. Foxit dispose également d'une procédure « chemin vert » pour les correctifs de sécurité critiques.

Sécurité dans le cloud

Les services cloud fournis par Foxit améliorent les capacités et l'expérience utilisateur de la solution de productivité de l'utilisateur final Foxit. Ces services sont surveillés en permanence en ce qui concerne la disponibilité, les performances et la sécurité.

Sécurité des centres de données

Tous les services cloud Foxit sont gérés par notre fournisseur de services cloud agréé, AWS (Amazon Web Services), qui est un centre de données ANSI de niveau 4, et qui maintient des contrôles stricts de vérification par rapport à l'accès aux centres de données, la tolérance aux pannes, les contrôles environnementaux et la sécurité. Seules les personnes agréées (employés autorisés de Foxit, employés du fournisseur de services cloud et prestataires) disposant d'une zone d'activité documentée et légitime sont autorisées à accéder au site sécurisé en Virginie, aux États-Unis.

Chiffrement des données et confidentialité

Les services cloud Foxit sont conçus en donnant une priorité élevée à la confidentialité et à la sécurité. Toutes les transmissions d'informations entre les utilisateurs et les services cloud Foxit sont entièrement sécurisées grâce au chiffrement AES 256 bits par le biais du protocole de transfert HTTPS.

Les employés de Foxit et les fournisseurs de confiance n'accèdent aux données des clients que pour effectuer certaines activités et fonctions d'assistance, ou lorsque cela est exigé par la loi. Foxit ne fournit à aucun gouvernement un accès direct ou systématique aux données des clients qu'il stocke.

Fonctionnement hors réseau

Foxit propose aux utilisateurs et aux organisations la possibilité de faire fonctionner le logiciel en mode complètement déconnecté du réseau, dans les endroits où aucun service d'accès cloud ne sera effectué par le logiciel installé par les utilisateurs. Cette possibilité offre une flexibilité opérationnelle et de déploiement supplémentaire pour les organisations ayant des besoins de sécurité élevés.

Déploiement et administration

Renforcement de la sécurité

En offrant des capacités et des options de configuration liées à la sécurité, telles que la désactivation de l'exécution de JavaScript, l'accès aux ressources entre domaines et la possibilité d'un fonctionnement hors réseau, Foxit a rendu son logiciel plus robuste contre les attaques et peut réduire ou éliminer le besoin de mises à jour de sécurité hors bande, ce qui permet de diminuer l'urgence de procéder à des mises à jour programmées régulières. Cela conduit à une flexibilité opérationnelle, ainsi qu'à une baisse du coût total de possession, tout particulièrement dans les grandes organisations ayant des exigences élevées en matière de sécurité.

Prise en charge de Citrix et de la virtualisation des applications

PhantomPDF prend en charge Citrix XenApp, Citrix XenDesktop, Microsoft App-V, ainsi que d'autres environnements de virtualisation. Cela permet aux organisations de fournir de manière efficace un accès distant sécurisé aux utilisateurs.

Prise en charge des objets de stratégie de groupe de Windows Server

Les objets de stratégie de groupe (GPO, Objets de stratégie de groupe) de Windows Server permettent aux administrateurs informatiques d'automatiser la gestion 1 à plusieurs des systèmes informatiques. PhantomPDF prend en charge les modèles d'administration Active Directory (ADM, Active Directory Administrative) de Microsoft pour la stratégie de groupe, ce qui permet aux administrateurs de fournir une installation logicielle à la demande et la réparation automatique des applications.

Prise en charge de Microsoft SCCM et SCUP

PhantomPDF et Foxit Reader prennent également en charge Microsoft SCCM (System Center Configuration Manager) afin de garantir que les bureaux Windows sont en permanence à jour avec les correctifs de sécurité.

En outre, la prise en charge des catalogues Microsoft SCUP (System Center Updates Publisher) permet aux administrateurs informatiques d'automatiser la mise à jour des installations de PhantomPDF et Foxit Reader sur l'ensemble de l'organisation.

Conclusion

Foxit fournit un niveau de protection de sécurité de premier plan aux utilisateurs ayant des besoins différents en matière de fonctions PDF, ainsi qu'aux organisations de différentes tailles et aux industries. Nous savons que vos informations et votre flux de travail sont sensibles et ont besoin de la meilleure protection possible. Avec Foxit, vous disposez d'un fournisseur de confiance qui ne se contente pas d'élaborer un logiciel PDF sans compromis, mais le sécurise également dans tous les domaines, comme recommandé par les meilleures pratiques de l'industrie.