Als het goed is zijn de kwetsbaarheden inmiddels opgelost (afb: FH- en Ruhr-uni)
Het is, uiteraard, de bedoeling dat versleutelde (pdf-)documenten alleen gelezen kunnen worden door personen voor wie die bedoeld zijn en die de juiste sleutel hebben. Onderzoekers van de FH-universiteit in Münster (D) en de Ruhr-universiteit in Bochum (ook D) hebben laten zien dat het mogelijk is de inhoud daarvan te kunnen inzien zonder die sleutel. Ze manipuleerden die versleutelde documenten zodat de inhoud daarvan werd doorgestuurd naar de eigen servers wanneer de (rechtmatige) ontvanger het document opende. De onderzoekers probeerden 27 populaire pdf-programma’s uit voor Windows, Mac en Linux. Alle waren ontvankelijk voor deze behandeling, met inbegrip van Adobe Acrobat en Foxit.
Gezien het grote aantal partijen die bij deze kwetsbaarheden is betrokken hebben de onderzoekers hun bevindingen al in mei aan de Duitse veiligheidsautoriteiten gemeld. De onderzoekers hebben ook meegeholpen de problemen op te lossen.
Versleuteling van pdf-documenten schijnt veel gebruikt te worden bij het elektronisch uitwisselen van vertrouwelijke informatie, zoals patiëntendossiers. Ook netwerkprinters en -scanners bieden de mogelijkheid tot pdf-versleuteling van afgedrukte en gescande documenten. Ook bij elektronische post wordt die mogelijkheid wel gebruikt.
Voor hun studie gingen de onderzoekers er van uit dat de aanvaller het versleutelde document in handen had, door, bijvoorbeeld, diens/dier berichten te onderscheppen. Zelfs zonder een wachtwoord voor de decodering kan een aanvaller het bestand manipuleren (en verbergen) voor latere acties. Hijzij stuurt dan het gemanipuleerde document naar de (rechtmatige) ontvanger. Als die het document opent dan wordt de ontcijferde inhoud direct naar de server van de aanvaller gestuurd.
Twee kwetsbaarheden
Het gaat om twee verschillende kwetsbaarheden waarvan aanvallers misbruik kunnen (konden?) maken. Alle geteste pdf-programma’s waren ten minste gevoelig voor een van beide kwetsbaarheden. De onderzoekers hebben een overzicht gepubliceerd van de getroffen toepassingen.
Bron: Alpha Galileo