PDF: Prüfe diesen Fake! Nicht jeder PDF-Viewer kontrolliert Signaturen

PDF (Portable Document Format), das 1993 von Adobe entwickelte Dateiformat. Viele User schätzen es und verwenden es beinahe täglich. Auch Behörden und Ämter arbeiten mit PDF-Dokumenten. Sie verlassen sich dabei auf die Korrektheit von Inhalt und Signatur. Du bist bisher davon ausgegangen, dass du mit PDF immer auf der sicheren Seite bist? Wenn dir dein PDF-Viewer ein Dokument mit Signatur anzeigt, ist es auf jeden Fall korrekt? Die Sicherheitsforscher Vladislav Mladenov und Christian Mainka haben gezeigt, dass dies leider nicht immer der Fall ist. Der Inhalt kann manipuliert werden. Dein PDF-Viewer erkennt den Fake nicht und du vielleicht auch nicht.

Die Experten haben ausgiebig geforscht. Es wurden 22 gängige Desktop-Applikationen für Windows, Linux und MacOS untersucht.  Auch sieben Online-Services wurden analysiert. Welcher Exploit dahinter steht, wurde von den Forschern demonstriert.

Eine Billion Dollar

Der Inhalt eines digital unterschriebenen PDFs kann verändert werden. Trotzdem bleibt die Signatur gültig. Der Empfänger verlässt sich auf den Validierungsprozess. Die PDF-Viewer leisten jedoch nur halbe Arbeit. Einfach gesagt: Wenn es um die Sicherheit geht, drücken sie eben gerne ein Auge zu. Die Forscher der Ruhr-Universität Bochum und der Hackmanit GmbH haben ein Dokument von Amazon drastisch verändert. Eine Rückerstattungssumme von einer Billion Dollar galt theoretisch als korrekt unterschrieben und genehmigt. Es war also ganz einfach möglich den Inhalt zu verändern. Klar! Bei einer Summe von einer Billion Dollar wäre von Empfängerseite wohl ohnehin eine eingehende Prüfung notwendig. Das gilt für alle Rechnungen.

Warum ist eine derartige Manipulation möglich?

Die schweren Sicherheitslücken bei PDF-Signaturen haben großes Missbrauchspotenzial. Digitale Signaturen sollen gewährleisten, dass das Dokument vom Absender stammt und nicht verändert worden ist. Darauf solltest du dich nicht verlassen. Warum kann der Inhalt derartig manipuliert werden? Die Incremental Saving Attack (ISA) ermöglicht es beispielsweise, dass Inhalte über Hinzufügen von weiteren Inhalten oder Ausblenden anderer Inhalte, so verändert werden, dass ein ganz neues Dokument entsteht.

Sie erkennen den Fake nicht

Zahlreiche Anwendungen erkennen die Manipulation nicht. Die Signatur bleibt gültig. Ein weiteres Spektrum an Angriffsmöglichkeiten wurde durch Universal Signature-Forgery erzielt. In erster Linie sind PDF-Viewer wohl zu inkonsequent im Umgang mit ungültigen Dateien. Zweitens gibt es große Probleme und Schwierigkeiten bei der Validierung von Signaturen.

Welche Anwendungen sind betroffen?

Die IT-Experten haben alle betroffenen Anwendungen aufgelistet und sind seit Oktober 2018 damit beschäftigt die involvierten Software-Hersteller zu informieren.

Fazit

Das Denken kann uns leider niemand abnehmen. Auch wenn du ein PDF mit Signatur vor dir siehst, solltest du dich fragen, ob der Inhalt korrekt ist. Wir überschätzen den Wert von digitalen Signaturen. Geh einfach immer davon aus, dass du es mit einem Fake zu tun haben könntest. Alles ist manipulierbar. Auf jeden Fall solltest du deine PDF-Viewer-Version auf dem neuesten Stand halten und updaten. Schütze deine Daten!

Quelle: heise.de; Foto: pixabay.com

Zusammenfassung
PDF: Prüfe diesen Fake! Nicht jeder PDF-Viewer kontrolliert Signaturen
Artikel Name
PDF: Prüfe diesen Fake! Nicht jeder PDF-Viewer kontrolliert Signaturen
Beschreibung
PDF (Portable Document Format), das 1993 von Adobe entwickelte Dateiformat, wird von vielen Usern geschätzt und beinahe täglich verwendet. Auch Behörden und Ämter arbeiten mit PDF-Dokumenten und verlassen sich dabei auf die Korrektheit von Inhalt und Signatur. Du bist bisher davon ausgegangen, dass du mit PDF immer auf der sicheren Seite bist? Wenn dir dein PDF-Viewer ein Dokument mit Signatur anzeigt, ist es auf jeden Fall korrekt? Die Sicherheitsforscher Vladislav Mladenov und Christian Mainka haben gezeigt, dass dies leider nicht immer der Fall ist. Der Inhalt kann manipuliert werden und der Fake wird weder von deinem Viewer noch von dir erkannt.
Author
Veröffentlicher
vpn-blog.de
Logo

Schreibe einen Kommentar

Weitere Artikel

/ / Anwendungen
In Kürze neu bei Surfshark VPN: BlindSearch™ & HackLock™

In Kürze neu bei Surfshark VPN: BlindSearch™ & HackLock™

Surfshark VPN hat in den letzten Monaten viel von sich hören lassen. 2018 erst gegründet, sorgt der supergünstige Anbieter regelmäßig für weitere Verbesserungen seiner Services. Beliebte Funktionen wie CleanWeb oder Whitelister sollen nun Zuwachs bekommen: Mit BlindSearch™ und HackLock™ erhalten die User zukünftig noch mehr für ihr Geld. Ein wenig dauert es zur Veröffentlichung zwar noch, wir haben aber direkt mit den Surfshark Machern gesprochen und einige spannende Details über die geplanten Features und ihre Vorteile herausgefunden. Und die wollen ...
Weiterlesen …
Angst, dass dein Smartphone & Co an der US-Grenze durchsucht wird? Dann beachte unsere 5 Tipps!

Angst, dass dein Smartphone & Co an der US-Grenze durchsucht wird? Dann beachte unsere 5 Tipps!

Grenzbehörden greifen immer drastischer in unsere Privatsphäre ein: Letztes Jahr führten US-Beamte über 33.000 Durchsuchungen von Geräten durch – ohne entsprechenden Durchsuchungsbefehl. Drei Jahre zuvor waren es nur 8.000. Untersuchungen zeigen, dass Beamte nahezu unbegrenzte Autorität haben, die Geräte von Reisenden an Grenzen zu durchsuchen. Die dabei gewonnenen Informationen können bis zu unglaublichen 75 Jahren gespeichert werden! Weitaus dramatischer ist aber die Tatsache, dass die Behörden deine Geräte auch nach Informationen über all jene Personen durchforsten kann, mit denen du ...
Weiterlesen …
/ / Politik, Überwachung
Du willst ein Visum für die USA? Dann musst du deine Social Media-Accounts offen legen!

Du willst ein Visum für die USA? Dann musst du deine Social Media-Accounts offen legen!

Die USA halten generell nicht viel von Privatsphäre. Schon gar nicht, wenn es um ausländische Besucher geht. So müssen alle jene, die ein Visum für die USA brauchen, ab sofort auch Auskunft zu ihren E-Mail- und Social-Media-Konten geben – verpflichtend! Sonst heißt es Draußenbleiben. Esta-Einreisen betrifft das aber nicht. Wieder einmal wird die „nationale Sicherheit“ vom US-Außenministerium für die Maßnahmen vorgeschoben, die bereits seit 2018 im Gespräch war. Diese heiligt alle Mittel – Überwachung etc. Wenn du ein US-Visum benötigst ...
Weiterlesen …
/ / Datenschutz
Klage wegen Cambridge Analytica Datenskandal: Facebook sieht keine Verletzung der Privatsphäre seiner User

Klage wegen Cambridge Analytica Datenskandal: Facebook sieht keine Verletzung der Privatsphäre seiner User

Erinnerst du dich noch an den großen Facebook Datenskandal rund um Cambridge Analytica? Dieser hat letztes Jahr für ordentlich Wirbel gesorgt. Einige User wollten sich die Datenweitergabe von Facebook nicht gefallen lassen und haben eine Sammelklage angestrengt. Klar, dass Facebook alles ganz anders sieht. Der Konzern meint doch tatsächlich, dass die Privatsphäre der Nutzer durch den Datenskandal nicht verletzt wurde … Als 2018 der Skandal rund um Cambridge Analytica und die damit verbundene unrechtmäßige Weitergabe von Nutzerdaten bekannt wurde, haben ...
Weiterlesen …
Wird geladen...