Investigadores de la Universidad Ruhr de Bochum en Alemania han descubierto un fallo en 22 lectores de PDF conocidos que aparentemente llevaba unos 20 años existiendo, y han documentado varios ataques explicando cómo se puede explotar.
El problema está en el soporte para las firmas digitales en archivos PDF que se vienen usando desde 1999. Dependiendo del tipo de ataque usado, se podría cambiar el contenido de un documento de forma arbitraria sin que se invaliden las firmas, es decir, se podrían falsificar documentos PDF firmados digitalmente por cualquiera.
Cómo funciona una firma digital
Para entender mejor por qué esto es un problema bastante serio, primero hay que entender un poco más cómo funcionan las firmas digitales. Quienes las hayan usado antes estarán más familiarizados con ellas, para quienes no han tenido la oportunidad, son una forma sencilla y teóricamente más segura de firmar documentos que una firma a mano.
En las firmas digitales se usa un identificador digital con certificado para autenticar la identidad del firmante, este certificado actúa como prueba de la firma mediante la vinculación de cada firma a un documento cifrado. Si la firma es válida, el lector puede asumir que el documento no ha sido alterado por nadie.
Es decir, la firma permite al receptor de un mensaje firmado digitalmente identificar a quien originó dicho mensaje, y confirmar que el mensaje no ha sido alterado desde que fue firmado por este. En este último punto es donde se encontraba la vulnerabilidad.
"Pudimos falsificar un documento firmado por Amazon para que nos hicieran un reembolso por un billón de dólares"
PDF Insecurity
Para ejemplificar de forma muy clara cuál es el problema, los investigadores ponen de ejemplo cómo pueden utilizar un documento ya firmado, como por ejemplo, un recibo de Amazon firmado digitalmente por invoicing@amazon.de y cambiar el contenido de ese recibo sin que se invaliden las firmas.
En su reporte identifican cómo hacer esto a través de tres tipos de ataques: Falsificación de firma universal (USF), Ataque de ahorro incremental (ISA), y Ataque de firma (SWA). El primero manipula la firma digital y hace imposible que el lector PDF pueda verificarla.
USF fue el ataque menos exitoso entre todos los lectores, sin embargo Adobe Acrobat Reader DC y Adobe Reader XI fueron susceptibles a él. Los ataques ISA se hacen añadiendo nuevo contenido al final de un PDF firmado sin que se le advierta al usuario que el documento ha sido alterado.
Los ataques de firma, que fueron los más exitosos, toman el contenido firmado originalmente y lo mueven a otra parte del documento, insertando contenido fraudulento en la posición original.
La lista de aplicaciones susceptibles incluye lectores PDF como Foxit Reader, LibreOffice Draw, Nitro, Adobe Acrobat Reader DC, Perfect PDF Reader, Soda PDF, y además varios servicios online de validación de PDFs como DocuSign, o Evotrust.
Como parte de esta investigación, los hallazgos fueron reportados de forma responsable a todos los proveedores de estas aplicaciones en octubre de 2018 junto a pruebas de concepto de los exploits y se les ayudó a solucionar los problemas. Si ya tienes una versión actualizada de tu lector PDF, deberías estar protegido. Si tu lector no aparece en la lista, recomiendan contactar al soporte para verificar su estado.
Vía | NakedSecurity
Ver 2 comentarios