IT-Sicherheit: Zwei neue Angriffe brechen PDF-Zertifizierung
Eine spezielle Eigenschaft von PDF-Dokumenten erlaubt, dass zwei Vertragsparteien diese nacheinander digital unterzeichnen können. Allerdings kann die zweite Partei auch unbemerkt den Inhalt des Vertrags verändern.
Eine Sicherheitslücke in den zertifizierten Signaturen von PDF-Dokumenten haben Forscher der Ruhr-Universität Bochum und der Universität Konstanz entdeckt. Diese besondere Form von signierten PDF-Dateien kann zum Beispiel für den Abschluss von Verträgen genutzt werden. Anders als die normale PDF-Signatur erlaubt die zertifizierte Signatur gewisse Veränderungen im Dokument nach dem eigentlichen Signieren. Das ist notwendig, damit auch die zweite Vertragspartei unterzeichnen kann. Das Team vom Bochumer Horst-Görtz-Institut für IT-Sicherheit zeigte, dass die zweite Vertragspartei mit ihrer digitalen Unterschrift unbemerkt auch den Vertragstext ändern kann, ohne dass die Zertifizierung dadurch ungültig würde. Zusätzlich deckten die Forscher eine Schwachstelle in Adobe-Produkten auf, über die Angreifer Schadcode in die Dokumente einschleusen können. Mit an der Aufdeckung beteiligt ist Dr. Vladislav Mladenov, der 2020 an der Universität Konstanz Vorarbeiten für das Forschungsprojekt leistete und inzwischen an der Ruhr-Universität Bochum tätig ist.
Simon Rohlmann, Dr. Vladislav Mladenov, Dr. Christian Mainka und Prof. Dr. Jörg Schwenk vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum stellen die Ergebnisse auf dem 42nd IEEE Symposium on Security and Privacy vor, das vom 24. bis 27. Mai 2021 als Online-Konferenz stattfindet. Die Ergebnisse veröffentlichte das Team auch auf der Webseite https://pdf-insecurity.org.
24 von 26 Anwendungen betroffen
Bei Nutzung der zertifizierten Signaturen kann die Partei, die das Dokument ausstellt und zuerst unterzeichnet, festlegen, welche Änderungen die andere Partei anschließend noch vornehmen kann. Möglich ist es etwa, Kommentare hinzuzufügen, Text in speziellen Feldern einzufügen oder eine zweite digitale Unterschrift unter das Dokument zu setzen. Mit gleich zwei neuen Angriffen – Sneaky Signature Attack (SSA) und Evil Annotation Attack (EAA) genannt – konnten die IT-Sicherheitsexperten die Integrität der geschützten PDF-Dokumente umgehen. So konnten die Forscher statt der zertifizierten Inhalte falsche Inhalte in dem Dokument anzeigen, ohne dass die Zertifizierung dadurch ungültig wurde oder PDF-Anwendungen eine Warnung ausgaben.
Die IT-Sicherheitsexperten testeten 26 PDF-Anwendungen; in 24 davon konnten sie die Zertifizierung mit mindestens einem der Angriffe brechen. Außerdem waren in elf der Anwendungen die Spezifikationen für PDF-Zertifizierungen nicht korrekt implementiert. Detaillierten Ergebnisse
Schadcode kann in Adobe-Dokumente eingeschleust werden
Zusätzlich zu den oben beschriebenen Sicherheitslücken entdeckte das Team vom Horst-Görtz-Institut und der Universität Konstanz noch eine Schwachstelle speziell in Adobe-Produkten. Zertifizierte Adobe-Dokumente können JavaScript-Code ausführen, beispielsweise beliebige URLs aufrufen, um die Identität eines Users zu verifizieren. Die Forscher zeigten, dass Angreifer über diesen Mechanismus schadhaften Code in ein zertifiziertes Dokument einschleusen könnten. Dieser erlaubt beispielsweise das Ausspähen der Privatsphäre eines Nutzers, indem beim Öffnen des Dokuments seine IP-Adresse und Informationen über die genutzte PDF-Applikation an einen Angreifer gesendet werden.
Originalveröffentlichung: Simon Rohlmann, Vladislav Mladenov, Christian Mainka, Jörg Schwenk: Breaking the specification: PDF certification, 42nd IEEE Symposium on Security and Privacy, Online-Konferenz, 2021