A rischio i documenti PDF crittografati con le funzionalità standard

Un gruppo di ricercatori accademici tedeschi (Università della Ruhr di Bochum e Università di Münster) ha messo a punto un attacco, battezzato PDFex, che permette di estrapolare i dati contenuti in un documento PDF crittografato, talvolta senza alcuna interazione da parte degli utenti.

Gli esperti affermano di aver portato a segno l’aggressione sui file aperti con tutti i principali visualizzatori di documenti PDF: 27 software in totale, compresi programmi come Adobe Acrobat, Foxit Reader, Evince, Nitro e i visualizzatori PDF integrati in Chrome e Firefox.

L’attacco si riferisce al sistema di crittografia standard utilizzabile per proteggere il contenuto dei file PDF e non, ovviamente, agli algoritmi di cifratura che possono essere sfruttati esternamente.

Diverse le strategie utilizzate: la prima (“direct exfiltration“) fa leva sul fatto che le applicazioni che producono il PDF lasciano alcune parti del documento in formato non crittografato. Un aggressore può sfruttare le parti del file non cifrate per inserire codice che, all’apertura, determinan l’invio del PDF in chiaro a un soggetto terzo.

Dei tre attacchi PDFex, il primo è il più facile da eseguire e il più efficiente in quanto non richiede alcune interazione. Il secondo presuppone infatti l’apertura di un browser esterno, operazione che gli utenti potrebbero bloccare. Il terzo è il metodo meno affidabile, soprattutto perché molte applicazioni PDF disabilitano per default il supporto di codice JavaScript.

Nell’immagine il resoconto finale dei test effettuati dagli universitari. Va detto che affinché un attacco abbia successo, è necessario che l’aggressore si trovi nelle condizioni di modificare il PDF crittografato. Dovrebbe quindi trovarsi nella stessa rete locale e avere la possibilità di intervenire direttamente sul documento.

I ricercatori tedeschi hanno concluso che le future specifiche PDF dovranno essere modificate in modo da tenere presenti gli aspetti legati alla sicurezza. Anche le specifiche PDF 2.0 pubblicate nel 2017 soffrirebbero dei problemi evidenziati in questo studio. Maggiori informazioni in questo post.