DE | EN
Sitemap | Impressum
web2.0 Diaspora RSS Vimeo Wir in der taz A-FsA Song MeetUp Twitter Youtube Unsere Artikel bei Tumblr Unsere Bilder bei Flickr Aktion FsA bei Wikipedia Spenden in Bitcoins Facebook Bitmessage Spenden über Betterplace Zugriff im Tor-Netzwerk https-everywhere
25.02.2019 Sicherheitslücken in PDF-Signaturen

Eine scheinbare Echtheit war allen ausreichend

Wer hat sich nicht schon darüber geärgert, dass die Steuersoftware Elster das Signieren und die Verschlüsselung mit wirklich sicherer Ende-zu-Ende Verschlüsselung mit GPG/PGP (Pretty Good Privacy) nicht akzeptiert. Aber die trauen ja auch der Identifikation mit dem ePerso nicht, wo ja der Staat für die Sicherheit garantieren sollte ;-)

Was hat das mit dem Thema zu tun?

In den USA können Dokumente an die Steuerbehörde als PDF Dateien mit einer PDF-eigenen Signatur unterschrieben werden. Viele Regierungen und Behörden nutzen für ihren ""Schriftverkehr" PDF Dokumente, in der EU sind sie Teil des Signatursystems eIDAS, in Österreich werden alle offiziellen Regierungsdokumente damit signiert.

Nun hat sich ein Team der Ruhr-Universität Bochum die Signaturprüfung von zahlreichen PDF-Betrachtern genauer angesehen. Die Ergebnisse:

  • Alle aktuellen PDF-Betrachter sind verwundbar.
  • Das gilt auch für nicht-Adobe PDF-Betrachtungsprogramme.
  • Auch  Online-Services zur Signaturprüfung wie Docu Sign kann man täuschen.

Lediglich der uralt-Adobe Reader unter Linux fiel nicht darauf hinein, allerdings wird er seit Jahren von Adobe nicht mehr gepflegt und hat diverse andere Sicherheitsmängel.

Was sind nun die Fehler?

Das Bochumer Team hat drei verschiedene Tricks gefunden, mit denen die Signatur in PDF Dokumenten zu überlisten war:

  1. Universal Signature Forgery
    Dabei wird die Signatur unvollständig angegeben, so dass die Prüfung eigentlich nicht durchführbar ist. Trotzdem hat die Mehrzahl der PDF-Programme die Signatur zwar nicht prüften könne, sie aber trotzdem als gültig akzeptiert.
  2. Incremental Savings
    Diese dienen eigentlich dazu Kommentare zu einer PDF Datei (hinter die Signatur) hinzuzufügen. Die kann aber dazu genutzt werden auch Updates zum Dokument hizuzufügen und damit dieses zu verändern. Nur der Adobe Reader fiel nicht auf diesen Trick rein.
  3. Signature-Wrapping
    Dabei wird ein kleines (richtig) signiertes PDF Dokument in ein (größeres) unsigniertes Dokument gepackt. Die Signaturprüfung findet nur die für das kleine Dokument richtige Signatur und bestätigt diese.

Gerade die letzte Methode wurde auch schon bei Angriffen auf XML Dokumente genutzt und müsste eigentlich leicht zu beheben sein, wenn es unmöglich wäre PDF-Signaturen nicht zwangsweise auf das gesamte Dokument zu berechnen. Im Gegensatz zur oben gelobten PGP Signatur und Verschlüsselung, wo der Beginn und das Ende des signierten/verschlüsselten Bereichs deutlich les- und sichtbar sind, ist dies bei PDF Dateien nicht möglich. Man muss also nur noch das kleine signierte Dokument im großen gut verstecken oder unsichtbar machen.

Die Forscher waren erstaunt, dass sich vor ihnen scheinbar noch niemand, auch nicht die betroffenen Regierungs- und Steuerbehörden, um die Sicherheit der Signatur in PDF Dateien gekümmert hatte. Für einige PDF Viewer gibt es inzwischen Updates.

Mehr dazu bei https://www.golem.de/news/sicherheitsluecken-pdf-signaturen-faelschen-leicht-gemacht-1902-139589.html


Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/31z
Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/6804-20190225-sicherheitsluecken-in-pdf-signaturen.htm
Link im Tor-Netzwerk: nnksciarbrfsg3ud.onion/de/articles/6804-20190225-sicherheitsluecken-in-pdf-signaturen.htm
Tags: #Adobe #PDF #Signatur #Verschlüsselung #Cyberwar #Hacking #Trojaner #Cookies #Verschlüsselung #Transparenz #Informationsfreiheit #Steuerbehörde #Regierungsdokumente #USA #EU #ePerso
Erstellt: 2019-02-25 09:20:02
Aufrufe: 313

Kommentar abgeben

Wer hat, der kann! Für eine verschlüsselte Rückantwort hier den eigenen Public Key reinkopieren.
(Natürlich optional)
Geben Sie bitte noch die im linken Bild dargestellte Zeichenfolge in das rechte Feld ein, um die Verwendung dieses Formulars durch Spam-Robots auszuschließen.
logos Mitglied im European Civil Liberties Network Creative Commons Bundesfreiwilligendienst Wir speichern nicht World Beyond War Tor - The onion router HTTPS - verschlüsselte Verbindungen nutzen Wir verwenden kein JavaScript Für Transparenz in der Zivilgesellschaft