Sicherheitsbewertung zu PDF-Verschlüsselungen: Wie sicher ist Ihr PDF-Reader?
Um die Vertraulichkeit zu gewährleisten, können PDF-Dateien verschlüsselt werden. Dies ermöglicht die sichere Übertragung und Speicherung sensibler Dokumente ohne weitere Schutzmechanismen. Eine im Jahr 2019 durchgeführte Untersuchung der Ruhr-Universität Bochum zeigte jedoch: Von 27 getesteten PDF-Readern waren 23 angreifbar für direkte Exfiltrationsangriffe und alle von ihnen anfällig für CBC-Entschlüsselung. Was das für Sie bedeutet, lesen Sie in diesem Beitrag.
Wie selbst verschlüsselte PDF-Rechnungen manipuliert werden können und wie Sie das Risiko reduzieren, lesen Sie in meinem vorherigen Beitrag. Das allgemeine Fazit dazu: Im SAP können viele Probleme schon unterbunden werden, indem Sie z. B. die Option „Druck“ unterbinden, digitale Signaturen auf die PDFs bringen, einen Kennwortschutz einführen und AES-256Bit-Verschlüsselung verwenden. Das reicht aber nicht immer aus, da viele PDF-Reader eine Sicherheitslücke darstellen.
Wer verwendet PDF-Verschlüsselungen?
Die PDF-Verschlüsselung ist weit verbreitet. Namhafte Unternehmen wie Canon und Samsung verwenden die PDF-Verschlüsselung in Dokumenten-Scannern, um vertrauliche Informationen zu schützen.
Weitere Anbieter wie IBM bieten PDF-Verschlüsselungsdienste für PDF-Dokumente und andere Daten (z. B. vertrauliche Bilder) an, indem sie diese in das PDF einbinden. Die PDF-Verschlüsselung wird auch in verschiedenen medizinischen Produkten zur Übertragung von Patientenakten verwendet, z. B. Innoport, Ricoh, Rimage.
Wie genau sieht die Sicherheitslücke bei PDF-Readern aus?
Die Schlüsselverwaltung zwischen Absender und Empfänger kann passwortbasiert sein (der Empfänger muss das vom Absender verwendete Passwort kennen oder es muss über einen sicheren Kanal an ihn übertragen werden) oder auf Basis eines öffentlichen Schlüssels (d. h. der Absender kennt die X.509-Bescheinigung des Empfängers).
In dieser Studie wurde die Sicherheit verschlüsselter PDF-Dateien analysiert und aufgezeigt, wie ein Angreifer den Inhalt ohne die entsprechenden Schlüssel filtern kann. Die als PDFex bekannten Sicherheitsprobleme, die bei den Untersuchungen festgestellt wurden, lassen sich wie folgt zusammenfassen:
Direkte Exfiltrationsangriffe:
Auch ohne das entsprechende Passwort zu kennen, kann der Angreifer, der eine verschlüsselte PDF-Datei besitzt oder zumindest Zugriff darauf hat, Teile davon manipulieren. Dafür reicht es schon, sich in einen Cloudspeicher wie Dropbox oder OneDrive einzuhacken.
Wie funktioniert das? Die PDF-Spezifikation erlaubt das Mischen von Chiffretexten mit Klartexten. In Kombination mit weiteren PDF-Funktionen, mit denen externe Ressourcen über HTTP geladen werden können, kann der Angreifer direkte Exfiltrationsangriffe ausführen, sobald ein Opfer die Datei öffnet.
CBC-Geräte:
Bei der PDF-Verschlüsselung wird der CBC-Verschlüsselungsmodus (Cipher Block Chaining) ohne Integritätsprüfungen verwendet, was die Formbarkeit von Chiffretext impliziert.
Dies ermöglicht es, selbstexfiltrierende Chiffretext-Teile mit CBC-Formbarkeits-Gadgets zu erstellen. Diese Technik wird zum einen verwendet, um vorhandenen Klartext zu ändern. Darüber hinaus können völlig neue verschlüsselte Objekte erstellt werden. Diese wirken anschließend für den Reader wie ein verschlüsselter Bestandteil der PDF.
Welche PDF-Reader waren in der Studie betroffen?
Von 27 getesteten PDF-Readern waren 23 angreifbar für direkte Exfiltrationsangriffe und alle von ihnen anfällig für CBC-Geräte. Die detaillierten Ergebnisse für die Desktop-Anwendungen finden Sie hier:
Legende:
– Exfiltration (keine Benutzerinteraktion)- – Exfiltration (mit Benutzerinteraktion)
- – Keine Exfiltration/nicht angreifbar
Was kann ich tun, um mich zu schützen?
Die gute Nachricht: Alle Ergebnisse wurden am 17. Mai 2019 offengelegt und die entsprechenden Anbieter in Kenntnis gesetzt. In Zusammenarbeit mit dem CERT-Bund (dem Computer Emergency Response Team des Bundesamtes für Sicherheit in der Informationstechnik) wurden diese dabei unterstützt, die Probleme zu beheben. Ihnen wurden dafür auch die Proof-of-Concept-Expoits zur Verfügung gestellt.
Mein Tipp: Sehen Sie sich an, welchen PDF-Reader aus der obigen Liste Sie verwenden und vergleichen Sie die Versionen. Wenn Sie eine unserer analysierten Desktop-Viewer-Anwendungen verwenden, sollten Sie bereits ein Update für Ihren Reader haben. Wenn Sie einen Reader verwenden, der nicht aufgelistet ist, wenden Sie sich an das Support-Team für Ihre Anwendung.
Wenn Sie tiefer in diese Thematik einsteigen wollen, kann ich Ihnen dieses Video von media.ccc.de empfehlen
Haben Sie Fragen zu Ihrem PDF-Reader? Kommentieren Sie einfach diesen Beitrag oder schreiben Sie mir eine E-Mail an info@mind-forms.de. Ich helfe Ihnen gerne weiter.
