Un PDF signé est-il réellement protégé contre toute modification indésirable ? Des chercheurs de l’université de la Ruhr répondent par la négative.
Leur rapport à ce sujet présente plusieurs attaques destinées à créer des documents « à deux visages ». D’un côté, le contenu « légitime » auquel s’attendent les parties signataires. De l’autre, du contenu qui n’apparaît qu’après signature.
La spécification PDF définit trois éléments principaux :
La modification d’éléments au sein de cette structure se fait avec la fonction dite de « sauvegarde incrémentale » (IS). Chaque IS ajoute ses objets dans un nouveau corps (placé immédiatement après le dernier trailer), puis ajoute une table Xref et un trailer.
Les signatures – avec identification ou certificat numérique – s’ajoutent aussi sous forme d’objets. Traditionnellement, elles commencent au premier octet et terminent au dernier. De manière générale, elles changent lorsqu’un PDF subit une modification. Mais ce n’est pas toujours le cas, expliquent les chercheurs : une multitude d’actions sont considérées comme sans danger par les principales visionneuses.
Le premier type d’attaque qu’ils présentent consiste à cacher le contenu indésirable derrière un autre contenu (overlay) avant la signature. Et à le faire apparaître ensuite aux yeux des victimes.
Deux déclinaisons de cette attaque figurent dans le rapport :
Autre type d’attaques : celles qui permettent de remplacer du contenu au vol.
Plus puissante encore, l’attaque qui combine les aspects « cacher » et « remplacer ». Fondées sur la création de PDF liés de manière dissimulée à d’autres documents, elles mettent à profit les tables de références croisées. Objectif : faire pointer le catalogue du document légitime vers les ressources malveillantes une fois le PDF signé.
Le tableau ci-dessous résume la situation des visionneuses PDF avant éventuelle applications de correctifs.
Photo d’illustration © Pei Ling Hoo – Fotolia
Formats de paramètres, méthodes d'apprentissage, mutualisation GPU... Voici quelques-unes des recommandations de l'ANSSI sur l'IA…
À la grogne des partenaires VMware, Broadcom répond par diverses concessions.
iPadOS a une position suffisamment influente pour être soumis au DMA, estime la Commission européenne.
FT Group, éditeur du Financal Times, a signé un accord avec OpenAI afin d'utiliser ses…
Au premier trimestre, Microsoft, Meta/Facebook et Alphabet/Google ont déjà investi plus de 32 milliards $…
La société britannique de cybersécurité Darktrace a accepté une offre de rachat de 5,32 milliards…