Anzeige

PDF

Bild: PREMIO STOCK / Shutterstock.com

Eine Sicherheitslücke in den zertifizierten Signaturen von PDF-Dokumenten könnten Cybergangster für den Abschluss von Verträgen nutzen, wie Forscher der Ruhr-Universität Bochum (RUB) entdeckt haben.

Die zertifizierte PDF-Signatur erlaubt zwar gewisse Änderungen im Dokument nach dem Signieren, damit auch die zweite Vertragspartei unterzeichnen kann. Dennoch kann diese mit ihrer digitalen Unterschrift dank der Sicherheitslücke auch unbemerkt den Vertragstext ändern, ohne dass die Zertifizierung dadurch ungültig würde.

Integrität umgehbar

Bei Nutzung der zertifizierten Signaturen kann die Partei, die das Dokument ausstellt und zuerst unterzeichnet, festlegen, welche Änderungen die andere Partei anschließend noch vornehmen kann. Möglich ist es etwa, Kommentare hinzuzufügen, Text in speziellen Feldern einzufügen oder eine zweite digitale Unterschrift unter das Dokument zu setzen.

Mit den Angriffen "Sneaky Signature Attack" und "Evil Annotation Attack" konnten die Bochumer Forscher die Integrität der geschützten PDF-Dokumente umgehen. Dem Team war es somit möglich, statt der zertifizierten Inhalte falsche Inhalte in dem Dokument anzuzeigen, ohne dass die Zertifizierung dadurch ungültig wurde oder PDF-Anwendungen eine Warnung ausgaben.

24 von 26 PDFs geknackt

Die IT-Sicherheitsexperten haben 26 PDF-Anwendungen getestet; in 24 davon konnten sie die Zertifizierung mit mindestens einem der Angriffe brechen. Außerdem waren in elf der Anwendungen die Spezifikationen für PDF-Zertifizierungen nicht korrekt implementiert.

www.pressetext.com


Artikel zu diesem Thema

Gerätewartung
Mai 25, 2021

Updates & Gerätechecks: So halten Sie Ihr System fit

Sicherheitslücken, geringere Leistungsfähigkeit, stundenlange Wartezeiten bei…
E-Siegel
Mai 12, 2021

E-Siegel für Banken und Finanzdienstleister: Unverzichtbar bei der Digitalisierung

Der durch die Corona-Pandemie beschleunigte Zwang zur Digitalisierung macht auch vor…

Weitere Artikel

PayPal

PayPal soll angeblich Kundengelder gestohlen haben

Drei US-Nutzer von PayPal haben eine Bundesklage gegen den Bezahldienst angestrengt. Er soll Kundengelder unberechtigt beschlagnahmt beziehungsweise Konten eingefroren haben. Die Nutzer aus Kalifornien und Chicago werfen dem Unternehmen vor, ihr persönliches…
Autonomes Shopping

Oberster Datenschützer ist beim autonomen Einkaufen noch entspannt

Das autonome Einkaufen im Supermarkt und digitale Konzepte an den Ladentheken bereiten dem obersten Datenschützer des Landes noch kein Kopfzerbrechen. Wichtig sei aber, dass der Kunde stets wisse, was erfasst werde und was nicht.
Smartphone

Weiterhin massenhaft Betrugs-SMS auf Handys

Betrugs-SMS mit der «Smishing»-Masche bleiben ein gravierendes Problem. Die Deutsche Telekom informierte im vergangenen Jahr etwa 30 000 Kundinnen und Kunden, dass deren Geräte von Smishing-Angriffen betroffen seien, wie der Bonner Konzern auf Anfrage…
Malware

Microsoft findet Schadsoftware auf Regierungs-PCs in Ukraine

Sicherheitsforscher von Microsoft haben auf Dutzenden Computern in der Ukraine neue Schadsoftware entdeckt, die sie unbrauchbar machen könnte. Das Programm tarne sich zwar als ein Erpressungstrojaner, sei aber in Wirklichkeit dafür gedacht, auf Befehl des…
New Release

Sophos bringt Switch-Modelle auf den Markt

Sophos bietet seinen Kunden mit seiner neuen Reihe an Managed Switches eine weitere Möglichkeit, das Management von Geräten im Netzwerk zu optimieren. Durch die Einbindung der Access Layer Switches – ob für 8, 24 oder 48 1 GE- oder 2,5 GE-Ports – in…
Partnerschaft IT Security

Stormshield und Sekoia bündeln ihre Kräfte gegen Cyberbedrohungen

Stormshield, Spezialisten im Cybersicherheitsumfeld, und Sekoia, ein auf die Prognose von Cyberbedrohungen spezialisiertes europäisches Unternehmen in den Bereichen CTI („Cyber Threat Intelligence“) und XDR („eXtended Detection & Response“), kündigen eine…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.