Sicherheitslücke: PDF-Signaturen immer noch unsicher

Mit Tricks lassen sich PDF-Dokumente erzeugen, die man nach dem Signieren verändern kann, ohne dass die digitale Signatur ungültig wird.

Artikel veröffentlicht am ,
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind.
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind. (Bild: Antonio Litterio, Wikimedia Commons/CC-BY-SA 3.0)

Ein Team der Ruhr-Universität Bochum hat erneut gezeigt, dass digitale Signaturen in PDFs nicht besonders sicher sind. Bereits im vergangenen Jahr gelang es den Forschern, die Signaturprüfung vieler PDF-Viewer auszutricksen. Jetzt legten sie nach: Erneut schafften sie es, die Signaturprüfung in allen getesteten Applikationen zu überlisten.

Stellenmarkt
  1. Integration Engineer (m/w/d)
    e.solutions GmbH, Ingolstadt
  2. Fachinformatiker als IT Support Engineer - Servicedesk (m/w/d)
    SHE Informationstechnologie AG, Ludwigshafen am Rhein
Detailsuche

Der neue Angriff, den die Entdecker Shadow-Angriff nennen, funktioniert so, dass in einem Dokument bereits manipulierte Inhalte vorhanden sind. Zum Zeitpunkt der Signatur sind diese aber unsichtbar. Anschließend kann das Dokument so manipuliert werden, dass die unsichtbaren Inhalte angezeigt werden.

Objekte unsichtbar machen oder austauschen

Der PDF-Standard sieht vor, dass sich an ein Dokument am Ende zusätzliche Daten anfügen lassen. Das führt nur in bestimmten Fällen dazu, dass die Signatur ungültig wird. So wird etwa in den meisten PDF-Viewern eine Warnung angezeigt, wenn man zusätzliche Objekte in ein Dokument einfügt. Zu keiner Warnung führt es hingegen, wenn beispielsweise ein bestehendes Objekt unsichtbar gemacht wird.

Insgesamt konnten die Forscher drei verschiedene Varianten finden, wie sich mit dieser Methode Dokumente erzeugen lassen, die sich nach einer Signatur inhaltlich verändern lassen. Ein Grundproblem bleibt wie schon bei den Angriffen im vergangenen Jahr, dass sich eine Signatur bei PDFs nicht zwangsweise auf das gesamte Dokument bezieht.

Golem Akademie
  1. Cloud Computing mit Amazon Web Services (AWS): virtueller Drei-Tage-Workshop
    14.–16. Februar 2022, virtuell
  2. SAMBA Datei- und Domänendienste einrichten: virtueller Drei-Tage-Workshop
    15.–17. November 2021, Virtuell
Weitere IT-Trainings

In den Produkten von Adobe wurden die Lücken mit einem Sicherheitsupdate im Mai geschlossen. Einen Überblick zu Updates für andere PDF-Viewer gibt es auf der Webseite der Forscher.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Rakuten
"Wir bauen 4. deutsches Netz mit x86-Standard-Hardware"

Billige Hardware soll 1&1 United Internet Kosten sparen. Doch in Japan explodieren bei Rakuten die Ausgaben.

Rakuten: Wir bauen 4. deutsches Netz mit x86-Standard-Hardware
Artikel
  1. Alder Lake: Intel will mit 241 Watt an die Spitze
    Alder Lake
    Intel will mit 241 Watt an die Spitze

    Kurz vor dem Launch zeigt Intel eigene Benchmarks zu Alder Lake, außerdem gibt es Details zur Kühlung und zum Denuvo-DRM.
    Ein Bericht von Marc Sauter

  2. Mäuse, Tastaturen, Headsets: Logitech hat mit Lieferengpässen zu kämpfen
    Mäuse, Tastaturen, Headsets
    Logitech hat mit Lieferengpässen zu kämpfen

    Die große Nachfrage während der Coronapandemie hat Logitech 82 Prozent mehr Umsatz beschert. Allerdings kommt die Lieferung nicht hinterher.

  3. Impfnachweise: Covid-Zertifikat für Adolf Hitler aufgetaucht
    Impfnachweise
    Covid-Zertifikat für Adolf Hitler aufgetaucht

    Im Internet sind gefälschte, aber korrekt signierte QR-Codes mit Covid-Impfnachweisen aufgetaucht.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung 4K-Monitore & TVs günstiger (u. a. 50" QLED 2021 749€) • Seagate Exos 18TB 319€ • Alternate-Deals (u. a. Asus B550-Plus Mainboard 118€) • Neues Xiaomi 11T 256GB 549,90€ • Ergotron LX Desk Mount Monitorhalterung 124,90€ • Speicherprodukte von Sandisk & WD [Werbung]
    •  /