22のPDFアプリで電子シグネチャを騙せることが判明

Sophosは2月27日(米国時間)、「Researchers break e-signatures in 22 common PDF viewers｜Naked Security」において、研究者らによって公開された「PDF Signature Spoofing」を引き合いに出し、PDFの電子署名を使ってユーザーを騙すことが可能だという検証結果を伝えた。

研究者は、既存の署名済みのAmazonの請求書などを改変することで、高額の返金を行うこともできるだろうと指摘している。

記事では、PDFの電子署名に関する攻撃方法として次の3つを取り上げている。

ユニバーサル署名偽造 - 電子署名を操作してユーザーによる確認を不可能にする攻撃方法。本来であれば、PDFアプリケーションが署名の不正を通知する必要があるが、PDFアプリケーションが署名には問題がないと報告してしまうため、ユーザーは問題に気がつくことが不可能
増分保存攻撃 - 増分保存と呼ばれるファイル形式機能を利用して、署名済みPDFファイルに新しいコンテンツを追加する方法。アプリケーションはユーザーに変更内容を知らせる必要があるが、メタデータを変更することでユーザーへの通知を無効にしておくことが可能な場合がある
署名ラッピング攻撃 - 署名されたコンテンツをドキュメントの別の部分に移動させ、不正なコンテンツを元の場所に挿入する方法

研究者らは調査した22個のアプリケーションすべてが何らかの攻撃に対して脆弱であり、その中で最も脆弱度が低かったのはLibreOfficeだったと説明している。

このようにPDFの電子署名が攻撃に使われやすい状況になっているのは、PDFの電子署名に関する仕様が、その検証方法に関して曖昧であることに理由があると説明している。電子署名は多くの政府が有効なものとして扱い始めているが、こうした抜け道が存在していることも留意しておく必要がある。