Các nhà nghiên cứu đã chứng minh một loại tấn công mới có thể cho phép kẻ xấu có khả năng phá vỡ các biện pháp đối phó hiện có và phá vỡ khả năng bảo vệ toàn vẹn của các tài liệu PDF được ký kỹ thuật số.
Gọi là “Các cuộc tấn công bóng tối“bởi các học giả từ Ruhr-University Bochum, kỹ thuật này sử dụng” tính linh hoạt rất lớn được cung cấp bởi đặc tả PDF để các tài liệu bóng vẫn tuân thủ tiêu chuẩn. “
Các phát hiện đã được trình bày ngày hôm qua tại Hội nghị chuyên đề về bảo mật hệ thống phân tán và mạng (NDSS), với 16 trong số 29 trình xem PDF được kiểm tra – bao gồm Adobe Acrobat, Foxit Reader, Perfect PDF và Okular – được phát hiện dễ bị tấn công bóng tối.
Để thực hiện cuộc tấn công, một kẻ độc hại tạo ra một tài liệu PDF có hai nội dung khác nhau: một là nội dung mà bên ký tài liệu mong đợi và một là một phần nội dung ẩn sẽ được hiển thị sau khi PDF được ký.
Các nhà nghiên cứu nêu rõ: “Những người ký bản PDF nhận tài liệu, xem xét và ký tên.” “Những kẻ tấn công sử dụng tài liệu đã ký, sửa đổi một chút và gửi cho các nạn nhân. Sau khi mở tệp PDF đã ký, các nạn nhân kiểm tra xem chữ ký điện tử đã được xác thực thành công chưa. Tuy nhiên, các nạn nhân thấy nội dung khác với những người ký”.
Trong thế giới tương tự, cuộc tấn công tương đương với việc cố tình để lại các khoảng trống trong tài liệu giấy và có chữ ký của bên liên quan, cuối cùng cho phép đối tác chèn nội dung tùy ý vào các khoảng trống.
Các cuộc tấn công bóng tối được xây dựng dựa trên một mối đe dọa tương tự do các nhà nghiên cứu nghĩ ra trong Tháng 2 năm 2019, phát hiện ra rằng có thể thay đổi tài liệu đã ký hiện có mà không làm mất hiệu lực chữ ký, do đó có thể giả mạo tài liệu PDF.
Mặc dù các nhà cung cấp kể từ đó đã áp dụng các biện pháp bảo mật để khắc phục sự cố, nhưng nghiên cứu mới nhằm mục đích mở rộng mô hình tấn công này để xác định khả năng kẻ thù có thể sửa đổi nội dung hiển thị của tệp PDF được ký điện tử mà không làm mất hiệu lực chữ ký của nó, giả sử rằng họ có thể thao túng tệp PDF trước khi nó được ký.
Về cốt lõi, các cuộc tấn công tận dụng các tính năng PDF “vô hại” không làm mất hiệu lực chữ ký, chẳng hạn như “cập nhật gia tăng” cho phép thực hiện các thay đổi đối với tệp PDF (ví dụ: điền vào biểu mẫu) và “biểu mẫu tương tác” (ví dụ: văn bản trường, nút radio, v.v.) để ẩn nội dung độc hại đằng sau các đối tượng lớp phủ có vẻ vô hại hoặc thay thế trực tiếp nội dung gốc sau khi được ký.
Một biến thể thứ ba được gọi là “ẩn và thay thế“có thể được sử dụng để kết hợp các phương pháp nói trên và sửa đổi nội dung của toàn bộ tài liệu bằng cách chỉ cần thay đổi các tham chiếu đối tượng trong PDF.
Các nhà nghiên cứu cho biết: “Kẻ tấn công có thể xây dựng một tài liệu bóng hoàn chỉnh ảnh hưởng đến cách trình bày của mỗi trang, hoặc thậm chí tổng số trang, cũng như từng đối tượng chứa trong đó.
Nói một cách đơn giản, ý tưởng là tạo một biểu mẫu, biểu mẫu này hiển thị cùng một giá trị trước và sau khi ký, nhưng một bộ giá trị hoàn toàn khác lại đăng tải thao tác của kẻ tấn công.
Để kiểm tra các cuộc tấn công, các nhà nghiên cứu đã được phát hành hai công cụ mã nguồn mở mới có tên PDF-Attacker và PDF-Detector có thể được sử dụng để tạo tài liệu bóng và kiểm tra thao tác trên PDF trước khi được ký và sau khi được sửa đổi.
Các sai sót – được theo dõi là CVE-2020-9592 và CVE-2020-9596 – đã được Adobe giải quyết trong một cập nhật phát hành vào ngày 12 tháng 5 năm 2020. Tính đến ngày 17 tháng 12 năm 2020, 11 trong số 29 ứng dụng PDF được thử nghiệm vẫn chưa được vá.
Đây không phải là lần đầu tiên vấn đề bảo mật PDF được đưa ra dưới lăng kính. Các nhà nghiên cứu có trước đó đã chứng minh các phương pháp trích xuất nội dung của tệp PDF được bảo vệ bằng mật khẩu bằng cách tận dụng mã hóa một phần được đặc tả PDF hỗ trợ nguyên bản để tách nội dung từ xa khi người dùng mở tài liệu đó.
Riêng các nhà nghiên cứu tháng trước không che đậy một tập hợp 11 lỗ hổng khác ảnh hưởng đến tiêu chuẩn PDF (CVE-2020-28352 đến CVE-2020-28359 và từ CVE-2020-28410 đến CVE-2020-28412) có thể dẫn đến từ chối dịch vụ, tiết lộ thông tin, dữ liệu các cuộc tấn công thao túng và thậm chí thực thi mã tùy ý.
