• IT-Karriere:
  • Services:

Sicherheitslücke: PDF-Signaturen immer noch unsicher

Mit Tricks lassen sich PDF-Dokumente erzeugen, die man nach dem Signieren verändern kann, ohne dass die digitale Signatur ungültig wird.

Artikel veröffentlicht am ,
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind.
Erneut konnte gezeigt werden, dass Signaturen in PDF-Dateien nicht sicher sind. (Bild: Antonio Litterio, Wikimedia Commons/CC-BY-SA 3.0)

Ein Team der Ruhr-Universität Bochum hat erneut gezeigt, dass digitale Signaturen in PDFs nicht besonders sicher sind. Bereits im vergangenen Jahr gelang es den Forschern, die Signaturprüfung vieler PDF-Viewer auszutricksen. Jetzt legten sie nach: Erneut schafften sie es, die Signaturprüfung in allen getesteten Applikationen zu überlisten.

Stellenmarkt
  1. über duerenhoff GmbH, Karlsruhe
  2. Deutsche Umwelthilfe e.V., Radolfzell, Berlin

Der neue Angriff, den die Entdecker Shadow-Angriff nennen, funktioniert so, dass in einem Dokument bereits manipulierte Inhalte vorhanden sind. Zum Zeitpunkt der Signatur sind diese aber unsichtbar. Anschließend kann das Dokument so manipuliert werden, dass die unsichtbaren Inhalte angezeigt werden.

Objekte unsichtbar machen oder austauschen

Der PDF-Standard sieht vor, dass sich an ein Dokument am Ende zusätzliche Daten anfügen lassen. Das führt nur in bestimmten Fällen dazu, dass die Signatur ungültig wird. So wird etwa in den meisten PDF-Viewern eine Warnung angezeigt, wenn man zusätzliche Objekte in ein Dokument einfügt. Zu keiner Warnung führt es hingegen, wenn beispielsweise ein bestehendes Objekt unsichtbar gemacht wird.

Insgesamt konnten die Forscher drei verschiedene Varianten finden, wie sich mit dieser Methode Dokumente erzeugen lassen, die sich nach einer Signatur inhaltlich verändern lassen. Ein Grundproblem bleibt wie schon bei den Angriffen im vergangenen Jahr, dass sich eine Signatur bei PDFs nicht zwangsweise auf das gesamte Dokument bezieht.

In den Produkten von Adobe wurden die Lücken mit einem Sicherheitsupdate im Mai geschlossen. Einen Überblick zu Updates für andere PDF-Viewer gibt es auf der Webseite der Forscher.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. Heute um 18 Uhr Release der RTX 3060
  2. Heute um 18 Uhr Release der RTX 3060
  3. Heute um 18 Uhr Release der RTX 3060
  4. 464,99€

Folgen Sie uns
       


Opel Zafira-e Life Probe gefahren

Wir haben den Opel Zafira-e Life ausführlich getestet.

Opel Zafira-e Life Probe gefahren Video aufrufen
    •  /