Signaturen in PDF können umgangen werden
6. März 2019 16:56 Uhr | Dr. Ulrich Kampffmeyer | Permalink
Auf der Webseite https://pdf-insecurity.org/ wird beschrieben, wie Signaturen in PDF-Dokumenten umgangen werden können. Dabei wird der Inhalt verändert ohne dass dies die Signatur bricht. Eine erhebliche Sicherheitslücke. eGovernment Computing greift das Thema auf: http://bit.ly/PDFsignaturen.
eGovernment Computing schreibt hierzu “Forscher vom Bochumer Horst-Görtz-Institut für IT-Sicherheit haben einen Weg gefunden, die Inhalte von signierten PDF-Dokumenten zu ändern, ohne die Signatur dabei ungültig werden zu lassen. Die digitalen Signaturen sollen eigentlich sensible Dokumente vor Fälschungen schützen. Bochumer Forscher hebelten diesen Mechanismus aus, was kaum eine PDF-Anwendung bemerkte.“
Prof. Dr. Jörg Schwenk: “Seit in der Europäischen Union 2014 die Regulierung zu “Electronic Identification, Authentication and Trust Services” (eIDAS) in Kraft getreten ist, sind digitale Signaturen weit verbreitet. Viele große Unternehmen nutzen sie für Rechnungen, alle Verträge bei EU-Projekten werden digital signiert, und in Österreich geschieht das auch bei allen Gesetzen. “Das Unternehmen Adobe bietet einen digitalen Signierdienst an, der nach eigenen Aussagen allein 2017 acht Milliarden Signaturen ausstellte.“
Die große Frage ist, handelt es sich nur um ein einmaliges Problem, dass nur bestimmte Signaturen betrifft, oder ist dies auch mit anderen Anwendungen möglich? Wird hierdurch die elektronische Signatur generell in Frage gestellt?
eGovernment Computing meint eher nein. eGovernment Computing: “Da sie fast alle gängigen PDF-Anwendungen und Online-Services betraf, wandten sich die Forscher im Oktober 2018 an das Computer Emergency Response Team des Bundesamtes für Sicherheit in der Informationstechnik (CERT-Bund), um die Schwachstelle zu melden. Mit dessen Unterstützung halfen die Bochumer Forscher Dr. Vladislav Mladenov, Dr. Christian Mainka, Martin Grothe und Prof. Dr. Jörg Schwenk den Entwicklern der PDF-Anwendungen gemeinsam mit Karsten Meyer zu Selhausen von der Firma Hackmanit, die Sicherheitslücken zu schließen, bevor sie ihre Ergebnisse jetzt veröffentlichten.“
Hoffen wir das Beste. Betrifft ja wohl nur die Viewer.
Faktencheck: Manipulation PDF-Viewer bei Signatur-Darstellung
Wie immer gilt: Ein Verfahren ist so sicher wie sein schwächster Bestandteil. Und wer mit älteren Software-Versionen arbeitet, ist tendenziell unsicherer dran… Der Betreff “Manipulation von PDF-Viewer bei Signatur-Darstellung” soll zeigen wo das erkannte Problem liegt: Nicht in der elektronische Signatur in einer PDF-Datei selbst sondern in ihrer Darstellung in Desktop-Applikationen und Online-Services in zahlreichen Fällen erfolgreich manipuliert worden. Verkürzt und verzerrt wurde teilweise von „unsicheren Signaturen“ berichtet. Die Website https://pdf-insecurity.org vermittelt eine gute Dokumentation der erkannten Schwachstellen.
Die elektronische Signatur braucht man nicht generell in Frage zu stellen. Im Gegenteil. Dieser Vorgang zeigt recht gut, dass Forscher wie Dr. Vladislav Mladenov, Dr. Christian Mainka, Martin Grothe und Prof. Dr. Jörg Schwenk dafür sorgen, dass diesen Verfahren dank ständiger Überprüfung weitaus mehr vertraut werden kann als Verfahren bei den auf Papier unterschrieben wird.
Auch die Vorgehensweise – erst Hersteller über Schwachstellen informieren, Möglichkeit zur Nachbesserung schaffen, dann die Öffentlichkeit informieren ist als seriös zu werten. So kommt es gar nicht erst zur Ausnutzung von Schwachstellen („Exploits“) sofern man eben seine Software aktuell hält.
Einige der Forscher beschäftigen sich schon länger mit der Sicherheit von Vertrauensdiensten und teilen ihre Erkenntnisse sowohl mit den Herstellern/Anbietern und mit dem Bundesamt für Sicherheit in der Informationstechnik das wiederum mit der zuständigen Aufsichtsbehörde für Vertrauensdienste – der Bundesnetzagentur kooperiert.
Wer die aktuellste Version des Adobe Reader verwendet kann die Schwachstelle nicht mehr nachvollziehen, da sie nach unseren Erkenntnissen behoben wurde. Im Fall von Adobe werden Hinweise zum Erkennen und Schließen der Sicherheitslücken publiziert wie z B in
Sicherheits-Bulletin https://helpx.adobe.com/security/products/acrobat/apsb19-07.html
und dann in Release Notes https://www.adobe.com/devnet-docs/acrobatetk/tools/ReleaseNotesDC/classic/dcclassic15.006february2019.html
Wer das selber überprüfen will, ob seine Anwendung ausgetrickst werden kann, findet Test-Dokumente unter https://www.pdf-insecurity.org/download/exploits.tar.gz
Das Problem betrifft auch die PDF-Viewer Signaturdienste. Laut
https://www.pdf-insecurity.org/signature/services.html waren hier zum Zeitpunkt der Veröffentlichung von https://news.rub.de/wissenschaft/2019-02-25-it-sicherheit-bochumer-forscher-umgehen-digitale-signaturen-von-pdf-dokumenten am 25.2. noch nicht überall Fixes veröffentlicht
Es gilt die Empfehlung der Forscher: Wer einen dieser Dienste nutzt, die noch nicht als “gefixt” gelistet sind, sollte seinen Anbieter kontaktieren.