Descubren graves vulnerabilidades en la firma de documentos PDF
Así lo han revelado académicos de la Universidad Ruhr de Bochum en Alemania, donde han roto el sistema de firma digital de 21 de 22 lectores de PDF para crear firmas falsas, mientras que también han conseguido engañar a cinco de siete páginas web de firmado de documentos PDF.
Entre los programas engañados se encuentran el propio Adobe Acrobat Reader, así como otros tan conocidos como Foxit Reader y LibreOffice. En cuanto a servicios online, estaban también DocuSign y Evotrust, que son de los más utilizados para firmar documentos.
La investigación se completó a principios de octubre, pero no ha sido publicada hasta ahora para dar tiempo a las empresas a parchear los fallos de seguridad. Una vez que todos ellos han parcheado los fallos, han decidido publicar la investigación, dada la importancia que tiene arreglar estas vulnerabilidades en documentos muy sensibles.
De hecho, un documento PDF firmado digitalmente es una prueba aceptable en un juicio, y pueden usarse como contratos vinculantes, para aprobar transacciones financieras, o para validar anuncios o comunicaciones de prensa. Poder usar un certificado falso para un documento PDF oficial puede llegar a generar robo de dinero.
Tres vulnerabilidades presente en casi todos los lectores de PDF: solo se salva 1 de 22
Las tres vulnerabilidades presentes en los tres servicios son las siguientes:
- Universal Signature Forgery (USF): vulnerabilidad que permite a un atacante engañar al proceso de verificación de la firma al mostrar una ventana falsa al usuario diciéndole que la firma es válida.
- Incremental Saving Attack (ISA): vulnerabilidad que permite añadir contenido extra a un documento PDF firmado sin romper la firma que ya tiene.
- Signature Wrapping (SWA): similar a ISA, permite validar el contenido extra que se añade con ISA y “sumarlo” de manera incremental al contenido ya firmado previamente.
Si utilizas uno de los lectores y editores de PDF, es conveniente que lo actualices de inmediato, ya que ahora mismo ya habrá una actualización correspondiente para el programa. Adobe Acrobat Reader, el primero del listado, solo era vulnerable al ataque que permitía mostrar una falsa ventana para hacer ver que el documento estaba firmado cuando en realidad no lo estaba.
En el caso de Foxit Reader encontramos lo opuesto: era inmune a la ventana, pero era vulnerable a las dos peores vulnerabilidades. LibreOffice era de los más seguros, aunque solo detectaba ISA cuando el certificado era de confianza.
