Crittografare un PDF per proteggerlo da occhi indiscreti non sarebbe così efficace. I ricercatori nella sicurezza informatica hanno infatti scoperto due difetti nello standard di formato, che lo rende vulnerabile a due tipi di attacchi, raggruppati sotto il nome di PDFex. E tutti i lettori PDF sarebbero più o meno interessati da questi punti deboli.

L’inevitabile formato PDF si integra direttamente nei suoi schemi di crittografia standard. Lo scopo di questa funzione nativa è garantire la riservatezza dei file, consentendo al contempo di essere decifrati da qualsiasi lettore, ma anche di evitare possibili metodi di crittografia fraudolenti.

Crittografia funzionale?

Sfortunatamente, le tecniche utilizzate nello standard non sarebbero robuste per nessun test. Lo hanno dimostrato sei ricercatori delle università tedesche nella zona della Ruhr a Bochum e Münster. Hanno effettivamente esposto una serie di attacchi, chiamati PDFex, per accedere ai contenuti di un PDF crittografato. Il metodo non è recuperare la password del file, ma sfruttare due difetti per estrarne il contenuto.

Il primo è che la crittografia standard si applica in realtà solo a una parte del documento. Ciò lascia agli hacker la possibilità di manipolare il contenuto in modo chiaro, di aggiungere un modulo, un collegamento esterno o un codice JavaScript.

Pertanto, quando un utente legittimo apre il file, potrebbe essere richiesto di attivare una di queste azioni, che quindi invia l’intero documento all’attaccante. Ma in alcuni casi, l’operazione può essere eseguita senza richiedere alcuna interazione (ad esempio con un modulo).

Una modalità di crittografia lungi dall’essere infallibile

Tuttavia, non tutti i lettori PDF supportano file parzialmente crittografati. Ma il secondo difetto di scoperta è semplicemente la modalità di crittografia standard: CBC ( Cipher Block Chaining ). E nella maggior parte dei lettori PDF, questo metodo non prevede un controllo dell’integrità dei file.

Di conseguenza, gli hacker possono attaccare ancora una volta il contenuto di un documento, ma questa volta direttamente nella parte crittografata. Per questo, possono usare “gadget CBC”, per aggiungere elementi coinvolgendo quindi l’invio dell’intero file, come nella prima situazione.

Lascia una recensione

Please Login to comment
avatar
  Subscribe  
Notificami