La mayor parte de los lectores de PDF y servicios de validación en línea, contienen vulnerabilidades que pueden explotarse para realizar cambios no autorizados en documentos que se encuentran firmados sin invalidar su firma digital.
Una reciente investigación de una universidad Alemana la cual analizo 22 aplicaciones de escritorio y 7 servicios de validación en línea, incluye una lista con los softwares más populares como Adobe Reader, Foxit Reader, LibreOffice, Nitro Reader, PDF-XChange y Soda PDF. Los servicios de validación defectuosos incluyen DocuSign, el servicio de validación de eTR, DSS Demonstration WebApp, Evotrust, y VEP.si.
Los archivos de firma digital, incluidos en los PDF, permiten protegerlos contra modificaciones no autorizadas. Los expertos idearon 3 técnicas de ataque que permite vulnerar a practicamente la mayoria de los programas, Universal Signature Forgery (USF), Incremental Saving Attack (ISA) y Signature Wrapping Attack (SWA).
Universal Signature Forgery (USF) permite a un atacante manipular la metainformación de la firma, de esta manera la aplicación utilizada para abrir verifica que la firma no puede acceder a los datos necesarios para la validación, pero sigue considerando que la firma es válida para algunas aplicaciones, como Acrobat Reader DC y Adobe Reader XI.
Incremental Saving Attack (ISA) aprovecha una característica legítima en la especificación de PDF que permite que los archivos se actualicen agregando cambios, como almacenar anotaciones o agregar nuevas páginas al documento. El ataque consiste en modificar un documento cambiando un elemento que no forma parte de la protección de la integridad de la firma.
Signature Wrapping Attack (SWA) obliga a la lógica de verificación de firma a analizar una parte del documento que es diferente de la original. Esto se hace "reubicando el contenido originalmente firmado en una posición diferente dentro del documento e insertando contenido nuevo en la posición asignada".
Adobe Reader 9 en su versión para Linux es la única aplicación que no es vulnerable a al menos un tipo de ataque, por otra parte, el único servicio que no era vulnerable a al menos un tipo de ataque fue DSS Demonstration WebApp en su versión 5.4.
REFERENCIA
COMENTARIOS