Portable Document Format (PDF) är de facto-standarden för dokumentutbyte över hela världen. För att garantera dokumentens äkthet och integritet används digitala signaturer. Flera offentliga och privata tjänster som sträcker sig från myndigheter, offentliga företag, banker och betaltjänster är beroende av säkerheten för PDF-signaturer. I detta dokument presenterar vi den första omfattande säkerhetsutvärderingen av digitala signaturer i PDF-filer. Vi introducerar tre nya attackklasser som kringgår det kryptografiska skyddet av digitalt signerade PDF-filer så att en angripare kan spoof innehållet i en signerad PDF. Vi analyserade 22 olika PDF-tittare och fann 21 av dem sårbara, inklusive framträdande och allmänt använda applikationer som Adobe Reader DC och Foxit. Vi utvärderade dessutom åtta online-valideringstjänster och fann att sex var sårbara. En möjlig förklaring till dessa resultat kan vara avsaknaden av en standardalgoritm för att verifiera PDF-signaturer - varje klient verifierar signaturer på olika sätt, och attacker kan anpassas till dessa skillnader. Vi föreslår därför en standardisering av en säker verifieringsalgoritm, som vi beskriver i detta dokument. Alla resultat har avslöjats på ett ansvarsfullt sätt, och de berörda leverantörerna fick stöd vid fastställande av problemen. Som ett resultat av detta utfärdades tre generella CVE för varje attackklass [50] [51] [52]. Vår forskning om PDF-signaturer och mer information finns också online på https://www.pdf-insecurity.org/.
År 2019, Mladenov et al. upptäckte tre nya attacker på PDF-signaturer som förbigick verifieringen av digitalt signerade PDF-filer REF.
1 Trillion Dollar Refund: How To Spoof PDF Signatures
{'venue': "CCS '19", 'journal': None, 'mag_field_of_study': ['Computer Science']}