Исследователи из двух немецких университетов смогли прочитать зашифрованные PDF-документы. Эксперты предложили два способа атаки под общим названием PDFex: оба позволяют взламывать файлы через 27 программ, включая Adobe Acrobat, Foxit Reader, средства просмотра PDF в Chrome и Firefox.

Столь широкий набор ПО объясняется тем, что уязвимость содержится в механизмах, встроенных в сам стандарт PDF. Его создатели предусмотрели в коде функцию нативного шифрования, благодаря которой документы можно открывать в любых программах, не переживая за совместимость криптографических алгоритмов. Как выяснили эксперты, эта опция оставляет незашифрованными некоторые данные PDF-файла, позволяя с их помощью получить все содержимое целевого документа.

Атака PDFex методом прямого извлечения

Первый сценарий использует упомянутые незашифрованные участки данных — созданный на их основе PDF-документ при открытии отправит злоумышленнику всю информацию.

Для этого взломщики могут добавить в незащищенные данные активный элемент: PDF-форму, интернет-ссылку или JavaScript-сценарий. Эти компоненты автоматически запустятся, когда пользователь расшифрует и откроет документ.

При использовании PDF-формы это все, что требуется от жертвы. Вариант с вредоносной ссылкой менее надежен для злоумышленника, поскольку требует запуска внешнего браузера, а это может вызвать у жертвы подозрения. Последний тип атаки и вовсе можно заблокировать собственными средствами PDF-программы, многие из которых запрещают фоновое выполнение JavaScript.

Атака PDFex через блоки шифротекста

Вторая вариация PDFex, напротив, направлена на зашифрованную часть файла. Для взлома документа специалисты используют участки кода, которые обрабатывают сцепленные блоки шифротекста и по результатам этих операций редактируют открытые данные. Эксперты использовали эти методы, чтобы внедрить в защищенное содержимое команду на отправку информации.

Как и в первом варианте атаки, это можно сделать тремя способами: с помощью PDF-форм, вредоносных ссылок и манипуляций сжатыми данными документа. В последнем случае файл сам отправляет расшифрованное содержимое на удаленный сервер при открытии.

Масштаб угрозы PDFex

Все предложенные сценарии предполагают, что взломщик получил доступ к редактированию PDF-документов — будь то напрямую или через перехват трафика жертвы. Исследователи призывают не преуменьшать возможные риски для пользователя, указывая, что, по идее, средства шифрования должны защищать именно от таких атак.

Специалисты доказали работоспособность своих методов на 27 распространенных программах для просмотра PDF.

«Эти результаты заставляют задуматься о глубинных причинах, которые делают такие атаки возможными, — указали ученые. — Во-первых, возможность частичного шифрования предусмотрена во многих форматах данных, включая XML, S/MIME, PDF. Она и позволяет злоумышленнику внедрить собственный код в документ. Во-вторых, программы все еще используют функции шифрования, которые не включают общую проверку целостности. Даже актуальная спецификация PDF 2.0, выпущенная в 2017 году, применяет алгоритм AES-CBC [который также попадает в эту категорию]».

Ранее в этом году исследователи научились взламывать беспроводные сети на основе протокола WPA3. Этот стандарт WiFi-подключений считается наиболее безопасным на сегодняшний день и был утвержден в 2018 году.

Категории: Уязвимости