Sicherheit.  Forschern der Ruhr-Universität Bochum ist es gelungen, Inhalte von signierten PDF-Dateien zu ändern, ohne dabei die Signatur ungültig werden zu lassen. Fast sämtliche getestete PDF-Anwendungen erkannten eine vorliegende Manipulation nicht.

Digitale Signaturen von PDF-Dokumenten sollen Rechnungen und Regierungsdokumente vor Fälschungen schützen. Einem Bochumer Forschungsteam gelang es jedoch, eine Schwachstelle zu finden und den Mechanismus zu umgehen. Es gelang ihnen, die Inhalte von signierten PDF-Dokumenten zu ändern, wobei die Signatur nicht ungültig wurde. Solche
signierten PDF-Dateien werden von vielen Firmen als Rechnungen verwendet und einige Länder, unter anderem Österreich oder die Vereinigten Staaten, schützen damit auch Regierungsdokumente. Fast alle getesteten PDF-Anwendungen, die eine solche Manipulation entdecken sollten, bemerkten die gemachten Veränderungen jedoch nicht.
Da es sich um eine große und potentiell gefährliche Sicherheitslücke handelt, meldete das Forscherteam vom Bochumer Horst-Görtz-Institut für IT-Sicherheit sie bereits im Oktober 2018 an das Computer Emergency Response Team des Bundesamtes für Sicherheit in der Informationstechnik. Gemeinsam mit der Unterstützung des Bundesamtes und Karsten Meyer zu Selhausen von der Firma Hackmanit, halfen die Bochumer Forscher Dr. Vladislav Mladenov, Dr. Christian Mainka, Martin Grothe und Prof. Dr. Jörg Schwenk den Entwickler*innen der PDF-Anwendungen, die Sicherheitslücken zu schließen.

Signaturen bei EU-Verträgen

Viele große Unternehmen nutzen die digitalen Signaturen für Rechnungen, generell sind sie weit verbreitet, seitdem die Europäische Union 2014 die Regulierung zu „Electronic Identification, Authentication and Trust Services“ in Kraft setzte. Auch Verträge von EU-Projekten werden in der Regel digital signiert, was in Österreich mittlerweile auch bei allen Gesetzen so gehandhabt wird. Digitale Signaturen würden, ähnlich wie das kleine grüne Schloss im Webbrowser, gewährleisten, dass das Dokument wirklich von dem*der angegebenen Absender*in stamme. Auch viele Deutsche würden beispielsweise ihre Rechnungen auf Basis solcher signierter Dokumente bezahlen. Das Unternehmen Adobe bietet einen digitalen Signierdienst an, der nach eigenen Angaben allein 2017 knapp acht Milliarden Signaturen ausgestellt habe.

Anwendungen aktualisieren

Die Forscher untersuchten 22 Desktop-Applikationen für Windows, Linux und Mac OS, deren Aufgabe es ist, PDF-Dateien zu öffnen. Zusätzlich hatten sie weitere sieben Online-Services im Visier, die bei einem hochgeladenen PDF-Dokument die zugehörige Signatur überprüfen sollten. Hierbei griffen sie die Anwendungen und Services mit jeweils drei verschiedenen Methoden an, Universal Signature Forgery (USF), Incremental Saving Attack (ISA) und Signature Wrapping Attack (SWA). Dabei versuchten sie, den Inhalt eines Dokumentes zu ändern.
21 der getesteten Desktop-Anwendungen und fünf der Online-Services waren durch mindestens einen der drei Angriffe verwundbar. Den Forschern gelang es, jeden beliebigen Inhalt eines PDF-Dokumentes zu verändern. Sie verwandelten beispielsweise in einer Datei einen zu zahlenden Rechnungsbetrag in eine Kostenrückerstattung von einer Billion US-Dollar.
Eine Liste der getesteten Anwendungen findet sich auf der der Webseite zum Angriff, pdf-insecurity.org. Die Forscher raten Nutzer*innen, zu überprüfen, welche Versionen sie installiert haben und sich gegebenenfalls bei dem*der jeweiligen Software-Hersteller*in nach einem Update zu erkundigen.                                    

:Philipp Kubu