Złamano szyfrowanie PDF – hackerzy mogą czytać i zmieniać treść chronionych dokumentów

Szyfrowane PDF-y nie są już bezpieczne

Sam atak polega na wykorzystaniu słabości standardu PDF i nie dotyczy tak naprawdę łamania zabezpieczeń, które aplikacje dodają do dokumentów. W testach, twórcom ataku udało się uzyskać dostęp do szyfrowanego PDF-a w 21 popularnych desktopowych przeglądarkach PDF. Aplikacje podatne na atak to między innymi Adobe Acrobat czy wbudowane przeglądarki PDF w Chrome oraz Firefox.

PDFex wykorzystuje fakt, że część zaszyfrowanego pliku PDF jest dostępna do manipulacji bez posiadania hasła. Jest to możliwe jednak tylko po tym, jak osoba mająca hasło otworzy plik. Mówiąc dokładniej, specyfikacja PDF umożliwia mieszanie treści zaszyfrowanych ze zwykłym tekstem. W połączeniu z funkcją PDF, która umożliwia ładowanie zasobów zewnętrznych poprzez HTTP, atakujący przeprowadzają bezpośredni atak eksfiltracyjny, gdy ofiara tylko otworzy plik.

Ingerencja w podpisany dokument

Druga z technik PDFex pozwala na podstawie posiadanego podpisanego dokumentu PDF, stworzyć dokument o zmodyfikowanej treści i podpisać go w imieniu tego samego użytkownika, firmy, podmiotu. Praktycznie każda z aplikacji do przeglądania i weryfikowania PDF jest podatna na ten atak.

Jako przykład i demonstracja ataku badacze użyli dokumentu PDF podpisanego przez [email protected]. Treść zamówienia została zmieniona w ten sposób, że atakujący powinni otrzymać od firmy Amazon miliony dolarów. Wszystko to bez naruszania podpisu cyfrowego. Twórcy twierdzą, że tylko osoba, która zna i rozumie szczegóły dotyczące formatu PDF może wykryć taką modyfikację.

Jak się chronić?

Badacze odpowiedzialni za opracowanie exploita współpracują z organizacją BSI-CERT w celu kontaktu ze wszystkimi vendorami i dostarczeniu im proof-of-concept podatności, tak aby mogli załatać swoje aplikacje do przeglądania PDF. Niektóre aplikacje z pewnością już otrzymały swoje aktualizacje. Należy więc jak najszybciej podnieść je do najnowszych wersji.

Nie ma metody na ochronę przed takimi rodzajami ataków. Jedynym sposobem wydaje się stosowanie dodatkowej warstwy zabezpieczeń, jak na przykład szyfrowanie komunikacji TLS oraz szyfrowanie danych na dyskach twardych, czyli tak naprawdę nic poza dobrymi praktykami.