Beim Portable Document Format (PDF) gibt es diverse Möglichkeiten diese zu signieren und das Ändern der Dateien zu sperren, damit die PDF-Datei einen Dokumentcharakter erhält. Genauso alt sind natürlich auch die Strategien diese Sicherheitsbeschränkungen zu umgehen und Leuten etwas unterzujubeln. In letzter Zeit sind wieder diverse professionelle Umgehungsansätze bekannt geworden. Deshalb widmet sich dieser Artikel mit neueren Ansätzen der Dokumentenfälschung von PDFs.
Anstoss war ein aktueller Artikel bezüglich der Prüfwerte, bzw. Hash-Werte. Wird eine PDF-Datein zu einem Dokument gemacht, wird dieses Schreibgeschütz und erhält eine bestimmte Prüfsumme. Wird dies Dokument irgendwie verändert, ändert sich ebenfalls die Prüfsumme und es wird eine Änderung erkannt sowie Alarm geschlagen. Der Aufwand eine andere Datei mit der selben Prüfsumme zu erstellen sollte quasi unendlich groß sein, damit dies nicht vorkommt. In der Vergangenheit gab es dementstprechend Konvente, bei denen dies mit recht großen Rechnern in vielen Stunden durchgeführt wurde. In letzter Zeit schafften es Forscher mit recht überschaubaren Systemen Dokumente mit gleicher Signatur, oder besser gesagt gleichen Prüfsummen herzustellen. Je älter PDF-Dokumente sind, desto einfacher sind Prüfsummen und die Hacks(Heise,2012).
In einem aktuellen Heise Artikel werden weitere Klassiker angesprochen. So gibt es PDF-Dokumentenänderungen, die vom System erkannt werden, aber nur eine Warnung auswerfen, dass unwichtigere Änderungen vorgenommen wurden und eben keinen Fehlermeldung mit entsprechenden Sperrungen vornehmen.
Die Autoren sprechen dabei von Shadow-Hacks, weil das betrachtende Opfer nur diverse Elemente sieht, während andere Elemente ihm „verdunkelt“ werden. Hintergrund ist zum Beispiel, das PDF neben den üblichen Farbschichten für den Druck auch eine unsichtbare Farbschicht definiert, zum Beispiel für Gravur-Effekte oder Spiegelungen.
Analog dazu gibt es Angriffszenarien, die ebenfalls „unsichtbare“ Objekte beinhalten, die nach dem Ausfüllen (Unterschreiben) vom Angreifer sichtbar gemacht werden.
Es wird von der Kategorien der Schadow-Attacken gesprochen.
Was oben angeführt wurde entspricht dabei der Hide-Kategorie; man unterschreibt Sachen, die man nicht gesehen und gelesen hat (obwohl sie schon da waren).
Unter der Kategorie replace fallen Strategien, wie das Benutzen eigener Schriftsätze, bei denen man hinterher im Schriftsatz die Zeichen austauscht. Denkbar wäre zum Beispiel ein Tauschen von „1000“ zu „9888“.
Die Autoren enden mit der Kategorie hide-and-replace, bei deren Szenario ein komplettes „falsches“ Dokument im PDF integriert ist und das unerwünschte richtige Dokument austauscht.
Resümierend kann man sagen: PDF ist sehr lange in Benutzung und dementsprechend gibt es fast unendlich viele Ansätze PDF-Dokumente zu fälschen. Je neuer die benutzte PDF-Version ist und je neuer das Betrachtungsprogramm (bzw. die Version) ist, desto weniger läuft man in die Gefahr, Opfer solches Angriffs zu werden.
Heise.de (2012) https://www.heise.de/security/meldung/Rekorde-im-Passwort-Knacken-durch-Riesen-GPU-Cluster-1762654.html
Heise.de(2020) https://www.heise.de/news/Shadow-Attacks-Forscher-hebeln-PDF-Signaturpruefung-erneut-aus-4849183.html
https://pdf-insecurity.org/signature-shadow/shadow-attacks.html
