Новые техники позволят менять содержимое сертифицированных PDF-документов

[Artifact]

В обычных условиях попытка изменения содержимого документа сразу же обнаруживается, но при использовании новых техник этого не происходит.

Специалисты Рурского университета в Бохуме представили две новые техники, позволяющие незаметно модифицировать содержимое сертифицированных PDF-документов. К примеру, одно лицо поставило на PDF-документе (скажем, на договоре) цифровую подпись и передало его на подпись своему партнеру. Этот партнер может не только подписать, но и изменить текст самого договора, выяснили исследователи. В обычных условиях попытка изменения содержимого документа сразу же обнаруживается программным обеспечением, и появляется соответствующее уведомление. Но при использовании представленных специалистами техник этого не происходит.
Техники, получившие название Evil Annotation и Sneaky Signature, представляют собой настоящий подарок для мошенников. Хотя крупные производители ПО для работы с PDF-документами, такие как Adobe, Libreoffice и Foxit уже выпустили патчи для своих продуктов, блокирующие возможность воспользоваться вышеупомянутыми техниками, приложения от менее известных брендов по-прежнему могут быть уязвимыми.
Сертифицированные PDF-документы очень часто используются в бизнесе. Как правило, создатели таких документов оставляют возможность вносить в их содержимое минимальные изменения, например, добавлять подпись или примечания, и в таких случаях никакие предупреждения безопасности не появляются. Тем не менее, как обнаружили специалисты Рурского университета, некоторые из этих полей для примечаний могут использоваться для добавления новых материалов и изменения смыслового значения текста.
С помощью атаки Evil Annotation можно использовать аннотации FreeText, Redact и Stamp для добавления в документ изображений или нового текста без ведома его создателя. Для документов, в которых возможность добавления аннотаций ограничена, в игру вступает вторая атака, Sneaky Signature. Второй человек, подписывающий документ, может использовать процесс подписания для добавления в документ дополнительной информации. Иными словами, вместо злоупотреблений примечаниями используется процесс подписания.
«Если сертифицированный документ открывается в обычном приложении для работы с PDF, подписи могут быть добавлены только в свободные поля для подписи, предоставленные органом по сертификации. Добавление пустых полей подписи в приложении обычно больше невозможно. Однако спецификация не запрещает добавлять пустые поля подписи в сертифицированный документ. Используя такие фреймворки, как Apache PDFBox2, пустые поля подписи могут быть размещены в любом месте документа и заполнены произвольным содержимым», - пояснили исследователи.
Исследователи протестировали 26 популярных инструментов для работы с PDF и обнаружили, что 24 из них уязвимы либо к одной из вышеописанных атак, либо сразу к двум.