ドイツの研究者は、パスワードで保護されたPDFファイルが侵害される可能性があることを証明

PDFファイルを作成します。パスワードを入れて、その中の情報に誰もアクセスできないようにします。あなたは100％安全だと思って、ファイルとそのセキュリティを忘れます。残念なことに、パスワードで保護されたPDFファイルは無敵ではないことが、ルール大学ボーフム、FHミュンスター応用科学大学、およびHackmanit GmbHのドイツ人研究者によって証明されました。研究者によると、PDF暗号化標準はPDFの脆弱性を利用して悪用される可能性があり、 PDFexと呼ばれる攻撃モデルを使用して、暗号化されたPDFファイルおよびパスワードで保護されたPDFファイルが侵害されることを証明することができました。場合によっては、PDFファイル内に非常に機密性の高い情報が見つかる可能性があることを考えると、疑いもなくこれは非常に不安になります。

パスワードで保護されたPDFファイルを侵害する方法を発見した研究者によると、それはすべて暗号文と平文に帰着します。それで、ここで正確に何を話しているのでしょうか？ whatis.com によると、暗号文は暗号化されたテキストであり、 平文は暗号化前のテキストです。研究者は、これらの2つのテキストを混合する方法を発見し、HTTPを介して外部ソースをロードできる特定のPDF機能を採用し、流出攻撃を実行する機会を提供しました。つまり、ハッカーが暗号文、プレーンテキスト、およびPDF機能を活用する方法を見つけた場合、ファイル内に保存されているデータにアクセスできる可能性があります。また、研究者は、CBC（Cipher Block Chaining）暗号化モードが信頼性のある「完全性チェック」を通過しないため、暗号化されたPDFファイルは侵入できないことも発見しました。このソースで説明されているように 、「暗号文を、関連する平文に復号化する別の暗号文に変換する」機会を提供するかもしれません。

PDFの脆弱性を発見した研究者は、27人のユニークなPDFビューアを分析し、そのうち23人は流出攻撃に対して脆弱であることが証明されました。 WindowsおよびLinuxと互換性のあるPDFビューアは脆弱であることが判明し、Mac互換のPreviewおよびSkimビューアのみが直接流出攻撃に耐えました。 Mozilla FirefoxおよびSafariブラウザーは信頼性が高いことが証明されましたが、Google ChromeおよびOperaは信頼性がありませんでした。残念なことに、PDFファイルの所有者が信頼できるビューアのみを使用する場合でも、それらは依然として危険にさらされる可能性があります。また、署名された文書が偽造され、そのような文書の受信者を危険にさらす可能性があることも判明しました。研究者は署名されたドキュメントに対するPDFex攻撃をテストし、署名を変更せずにドキュメントのコンテンツを変更できることがわかりました。 22のPDFビューアアプリケーションがテストされましたが、攻撃に耐えたのは1つだけでした。 7つのオンライン検証サービスのうち、5つが脆弱であることが証明されました。 CVE-2018-16042、 CVE-2018-18688 、およびCVE-2018-18689パッチは、サイバー犯罪者が検出されたPDFの脆弱性を悪用できないようにするためにリリースされました。

このPDFの脆弱性は、サイバー犯罪者がデータを盗むのに役立ちますか？

PDFビューアの作成者が脆弱性に対処しておらず、ユーザー自身が必要なセキュリティアップデートをすばやくインストールできない場合、発見されたPDF脆弱性が大きなトラブルにつながる可能性が常にあります。結局のところ、サイバー犯罪者は常に、最も重要でない脆弱性でさえも悪用する方法を見つけており、この脆弱性はそれよりもはるかに優れています。残念ながら、パスワードで保護されたPDFファイルは安全性の錯覚を引き起こす可能性があります。したがって、人々ははるかに機密性の高い情報を含めることを選択する場合があります。暗号化されたファイルが他の人に送信される場合、これは特に重要です。全体的に、PDF暗号化標準は脆弱であることが証明されているため、PDFファイル内のデータは安全ではありません。パスワードと一緒に他の人と共有する場合も、自分で保管する場合も、PDFファイルに機密データを保存する前に、よく考える必要があります。

たとえば、一部の人はパスワードで保護されたPDFファイルを使用して、パスワード、クレジットカード番号、社会保障番号、連絡先情報、およびその他の種類の機密データを保存します。 PDFファイルを仮想クラウドに保存すると、どのデバイスからでもアクセスできるため、安全であると感じられます。サイバー犯罪者がPDFの脆弱性を悪用した場合、または情報を内部に見知らぬ人がアクセスできないようにするための弱いパスワードをブルートフォースできる場合は、安全ではありません。幸いなことに、個人データを保護する方法は他にもあります。 Cyclonis Password Managerと呼ばれる無料のツールを使用してパスワードを生成および管理できます。また、アクセスする必要のないユーザーから機密情報を遠ざけるためにも使用できます。 Cyclonisを使用して保護するために選択したすべての情報は暗号化されます。ちょっと待ってください。暗号化の標準が悪いために生じるPDFの脆弱性について話しただけではありませんか？幸いなことに、Cyclonisが採用している暗号化標準は信頼できます。

間違いなく、個人データをデジタル化するときは、非常に慎重かつ非常に選択的でなければなりません。今では、オンラインで投稿されたものはすべて永遠にそこにあるということを知っている必要があります。残念ながら、パスワードで保護されたファイルを使用して隠そうとする情報や、ログイン時に入力する情報も脆弱になる可能性があります。したがって、すべての段階で注意する必要があります。使用するPDFビューア、PDFドキュメントに追加する情報、これらのドキュメントを共有および保護する方法、ハッキングに関するニュースへの対応や最新の更新プログラムのインストールにどれだけ迅速に注意する必要があります。もちろん、仮想セキュリティの大部分は手元にありますが、サービスプロバイダーがセキュリティの脆弱性にパッチを当てることができない場合、制御不能になる可能性があります。

結論として、もしあなたが安全になりたいなら、あなたは自分自身を学び、教育し続ける必要があります。また、デジタル世界で情報と自分のアイデンティティを保護する方法を選択することも重要です。また、パスワードはロックのようなものであり、脆弱で古くても、サイバー犯罪者の力に逆らうことはないということを忘れないでください。できる限り強力で最もユニークなパスワードを常に設定し、また、場合によっては最も弱いリンクであるため、使用するサービスやアプリケーションにも注意してください。