• IT-Karriere:
  • Services:

Sicherheitslücke: PDF-Signaturen immer noch unsicher

Mit Tricks lassen sich PDF-Dokumente erzeugen, die man nach dem Signieren verändern kann, ohne dass die digitale Signatur ungültig wird.

Artikel veröffentlicht am ,
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind.
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind. (Bild: Antonio Litterio, Wikimedia Commons/CC-BY-SA 3.0)

Ein Team der Ruhr-Universität Bochum hat erneut gezeigt, dass digitale Signaturen in PDFs nicht besonders sicher sind. Bereits im vergangenen Jahr gelang es den Forschern, die Signaturprüfung vieler PDF-Viewer auszutricksen. Jetzt legten sie nach: Erneut schafften sie es, die Signaturprüfung in allen getesteten Applikationen zu überlisten.

Stellenmarkt
  1. Dürr Systems AG, Bietigheim-Bissingen
  2. ICon GmbH & Co. KG, Pforzheim

Der neue Angriff, den die Entdecker Shadow-Angriff nennen, funktioniert so, dass in einem Dokument bereits manipulierte Inhalte vorhanden sind. Zum Zeitpunkt der Signatur sind diese aber unsichtbar. Anschließend kann das Dokument so manipuliert werden, dass die unsichtbaren Inhalte angezeigt werden.

Objekte unsichtbar machen oder austauschen

Der PDF-Standard sieht vor, dass sich an ein Dokument am Ende zusätzliche Daten anfügen lassen. Das führt nur in bestimmten Fällen dazu, dass die Signatur ungültig wird. So wird etwa in den meisten PDF-Viewern eine Warnung angezeigt, wenn man zusätzliche Objekte in ein Dokument einfügt. Zu keiner Warnung führt es hingegen, wenn beispielsweise ein bestehendes Objekt unsichtbar gemacht wird.

Insgesamt konnten die Forscher drei verschiedene Varianten finden, wie sich mit dieser Methode Dokumente erzeugen lassen, die sich nach einer Signatur inhaltlich verändern lassen. Ein Grundproblem bleibt wie schon bei den Angriffen im vergangenen Jahr, dass sich eine Signatur bei PDFs nicht zwangsweise auf das gesamte Dokument bezieht.

In den Produkten von Adobe wurden die Lücken mit einem Sicherheitsupdate im Mai geschlossen. Einen Überblick zu Updates für andere PDF-Viewer gibt es auf der Webseite der Forscher.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 44,49€
  2. 7,99€

Folgen Sie uns
       


LG Gram 14 (14Z90N) im Test

Das LG Gram 14 ist weniger als 1 kg leicht und kann trotzdem durch lange Akkulaufzeit überzeugen. Das Deutschlanddebüt des Geräts ist gelungen.

LG Gram 14 (14Z90N) im Test Video aufrufen
Sono Motors: Wie der E-Autohersteller durch die Krise kommen will
Sono Motors
Wie der E-Autohersteller durch die Krise kommen will

Die Crowdfunding-Kampagne kam zur richtigen Zeit. Mit dem Geld hat das Elektroauto-Startup Sono Motors die Coronakrise bisher gut überstanden.
Ein Bericht von Werner Pluta

  1. Soundcloud-Gründer Das eigene E-Bike für 59 Euro im Monat
  2. Kuberg Elektrisches Dirt Bike mit Anhänger vorgestellt
  3. Venturi Wattman Rekordversuch mit elektrischem Motorrad mit Trockeneis

Mars 2020: Was ist neu am Marsrover Perseverance?
Mars 2020
Was ist neu am Marsrover Perseverance?

Er hat 2,5 Milliarden US-Dollar gekostet und sieht genauso aus wie Curiosity. Einiges ist dennoch neu, manches auch nur Spielzeug.
Von Frank Wunderlich-Pfeiffer


    Programmierer als Künstler: Von der Freiheit, Neues in Code zu denken
    Programmierer als Künstler
    Von der Freiheit, Neues in Code zu denken

    Abgabetermine und Effizienzansprüche der Auftraggeber drängen viele dazu, Code nach Schema F abzuliefern. Dabei kann viel Gutes entstehen, wenn man Programmieren als Form von Kunst betrachtet.
    Von Maja Hoock

    1. Ubuntu Canonical unterstützt Flutter-Framework unter Linux
    2. Complex Event Processing Informationen fast in Echtzeit auswerten
    3. Musik Software generiert Nirvana-Songtexte

      •  /