Niemieccy naukowcy udowodnili, że pliki PDF chronione hasłem mogą zostać naruszone
Tworzysz plik PDF. Umieszczasz na nim hasło, aby nikt nie mógł uzyskać dostępu do zawartych w nim informacji. Zapomniałeś o pliku i jego bezpieczeństwie, myśląc, że jesteś w 100% bezpieczny. Niestety, niemieccy naukowcy z Ruhr University Bochum, FH Münster University of Applied Sciences i Hackmanit GmbH udowodnili, że pliki PDF chronione hasłem nie są niezwyciężone. Według naukowców standard szyfrowania PDF można wykorzystać przy użyciu luk w zabezpieczeniach PDF, a przy użyciu modelu ataku o nazwie PDFex udało im się udowodnić, że zaszyfrowane pliki PDF i pliki PDF chronione hasłem mogą zostać naruszone. Bez wątpienia jest to niezwykle niepokojące, biorąc pod uwagę, że w niektórych przypadkach bardzo wrażliwe informacje można znaleźć w plikach PDF.
Według naukowców, którzy znaleźli sposób na złamanie chronionych hasłem plików PDF, wszystko sprowadza się do tekstu zaszyfrowanego i zwykłego tekstu. O czym dokładnie tutaj mówimy? Według whatis.com , tekst zaszyfrowany to tekst zaszyfrowany, a tekst jawny to tekst przed zaszyfrowaniem. Badacze znaleźli sposób na zmieszanie tych dwóch tekstów, a także zastosowanie pewnych funkcji PDF, które umożliwiają ładowanie zewnętrznych źródeł przez HTTP, i które umożliwiły przeprowadzenie ataków eksfiltracyjnych. Oznacza to, że jeśli haker zorientuje się, jak wykorzystać funkcje tekstu zaszyfrowanego, tekstu jawnego i PDF, może uzyskać dostęp do danych przechowywanych w plikach. Naukowcy odkryli również, że zaszyfrowane pliki PDF nie są nieprzeniknione ze względu na tryb szyfrowania CBC (Cipher Block Chaining), który według nich nie przechodzi przez wiarygodne „kontrole integralności”. Uważa się, że zastosowany algorytm szyfrowania jest plastyczny, co może oferować możliwość „przekształcenia tekstu zaszyfrowanego w inny tekst zaszyfrowany, który odszyfrowuje do pokrewnego tekstu jawnego”, jak opisano w tym źródle.
Badacze, którzy odkryli lukę PDF, przeanalizowali 27 unikalnych przeglądarek PDF, a 23 z nich okazało się podatnych na ataki eksfiltracyjne. Przeglądarki plików PDF kompatybilne z systemami Windows i Linux zostały uznane za podatne na atak, a tylko przeglądarki Preview i Skim zgodne z komputerami Mac wytrzymywały bezpośrednie ataki eksfiltracyjne. Sprawdzone przeglądarki Mozilla Firefox i Safari są niezawodne, podczas gdy Google Chrome i Opera nie. Niestety, nawet jeśli właściciel pliku PDF miałby korzystać tylko z wiarygodnych przeglądarek, nadal mógłby być zagrożony. Stwierdzono również, że można fałszować podpisane dokumenty, co może narazić odbiorców takich dokumentów. Badacze przetestowali ataki PDFex na podpisane dokumenty i ustalono, że treść dokumentu można zmienić bez zmiany podpisu. Przetestowano 22 aplikacji do przeglądania plików PDF, a tylko jedna wytrzymała atak. Spośród 7 usług walidacji online 5 okazało się podatnych na ataki. Wydano łaty CVE-2018-16042, CVE-2018-18688 i CVE-2018-18689, aby zapewnić, że cyberprzestępcy nie będą mogli wykorzystać wykrytej luki w formacie PDF, a teraz użytkownicy przeglądarek PDF na komputerach stacjonarnych muszą zainstalować najnowsze wersje i zaktualizować nieaktualne wersje.
Czy ta usterka w formacie PDF może pomóc cyberprzestępcom w kradzieży danych?
Jeśli twórcy przeglądarek PDF nie usuną luk w zabezpieczeniach, a sami użytkownicy nie będą szybko instalować niezbędnych aktualizacji zabezpieczeń, zawsze możliwe jest, że odkryta luka w zabezpieczeniach PDF może spowodować poważne problemy. W końcu cyberprzestępcy ZAWSZE znajdują sposób na wykorzystanie nawet najbardziej nieznaczących luk w zabezpieczeniach, a ta jest znacznie większa. Niestety pliki PDF chronione hasłem mogą stwarzać iluzję bezpieczeństwa. Dlatego ludzie mogą zdecydować się na podanie znacznie bardziej poufnych informacji. Jest to szczególnie ważne, jeśli zaszyfrowane pliki są wysyłane do innych osób. Ogólnie rzecz biorąc, okazało się, że standard szyfrowania PDF jest słaby, więc dane w plikach PDF nie są bezpieczne. Niezależnie od tego, czy udostępniasz je - wraz z hasłem - komuś innemu, czy zachowujesz je dla siebie, musisz przemyśleć dwa razy, zanim zdecydujesz się przechowywać poufne dane w plikach PDF.
Na przykład niektóre osoby używają plików PDF chronionych hasłem do przechowywania haseł, numerów kart kredytowych, numerów ubezpieczenia społecznego, danych kontaktowych i innych poufnych danych. Jest bezpieczny, a może się również wydawać wygodny, ponieważ jeśli plik PDF jest zapisany w wirtualnej chmurze, można uzyskać do niego dostęp z dowolnego urządzenia. Cóż, jeśli cyberprzestępcom uda się wykorzystać luki w zabezpieczeniach plików PDF lub jeśli będą w stanie brutalnie wymusić słabe hasło, które ma uniemożliwić dostęp do informacji nieznajomym, nie będziesz bezpieczny. Na szczęście istnieją inne sposoby zabezpieczenia danych osobowych. Darmowe narzędzie o nazwie Cyclonis Password Manager może być używane do generowania haseł i zarządzania nimi, a także może służyć do utrzymywania poufnych informacji z dala od osób, które nie powinny mieć do nich dostępu. Wszystkie informacje, które chcesz chronić za pomocą Cyclonis, są szyfrowane. Chwileczkę, czy nie rozmawialiśmy tylko o podatnościach PDF spowodowanych złymi standardami szyfrowania? Na szczęście standardy szyfrowania stosowane przez Cyclonis są godne zaufania.
Bez wątpienia musisz być bardzo ostrożny i bardzo selektywny podczas digitalizacji jakichkolwiek danych osobowych. Do tej pory musisz znać powiedzenie, że wszystko opublikowane online jest tam na zawsze. Niestety informacje, które próbujemy ukryć za pomocą plików chronionych hasłem, a nawet informacje, które wpisujemy podczas logowania, mogą również zostać narażone na atak. Dlatego musisz być ostrożny na każdym kroku. Należy zachować ostrożność w stosunku do używanych przeglądarek PDF, informacji dodawanych do dokumentów PDF, sposobu udostępniania i ochrony tych dokumentów, a także szybkości reagowania na wiadomości o włamaniach lub instalowaniu najnowszych aktualizacji. Oczywiście, mimo że duża część twoich wirtualnych zabezpieczeń jest w twoich rękach, możesz stracić kontrolę, jeśli usługodawcy nie mogą naprawić luk w zabezpieczeniach.
Podsumowując, jeśli chcesz być bezpieczny, musisz kontynuować naukę i edukację. Ważne jest również, abyś wybrał sposób ochrony informacji i własnej tożsamości w cyfrowym świecie. Pamiętaj też, że hasła są jak zamki, a jeśli są wątłe i stare, nie będą się opierać potędze cyberprzestępców. ZAWSZE ustawiaj najsilniejsze i najbardziej unikalne hasła, a także zachowaj ostrożność w zakresie używanych usług i aplikacji, ponieważ w niektórych przypadkach są to najsłabsze linki.
