複雑なデジタル署名の仕組みが裏目に
PDFを気付かれずに改ざん？ デジタル署名を無意味化する手口
ボーフム大学の調査によって、PDFビュワーの署名検証機能に脆弱性があることが判明した。PDFのデジタル署名機能は、ファイルや署名の改ざんを検出できない可能性がある。
PDF形式のファイルには、デジタル署名を埋め込む機能がある。こうしたデジタル署名付きPDFファイルは広く普及しており、特に欧州連合（EU）のデジタル署名規則「eIDAS」への準拠が必要な政府機関でよく使用されている。
こうしたPDF署名はどの程度安全なのか。ドイツのボーフム大学の研究者チームは、各PDFビュワーのデジタル署名関連機能の実装状況を調査し、調査結果を公開した。
この調査結果は、PDF署名のセキュリティの脆弱（ぜいじゃく）さを浮き彫りにした。研究者は、デジタル署名機能を実装している調査対象のPDFビュワーの全てで、仕掛けを工夫してデジタル署名やファイルを改ざんすることに成功した。DocuSignの同名サービスのようなデジタル署名／契約サービスも、評価は芳しくなかった。同様の改ざん攻撃が成功したからだ。
なぜデジタル署名の改ざん攻撃は成功してしまうのか
研究者は幾つかの攻撃手法を用いた。根本的な問題は、PDF署名が複雑なシステムであることに起因している。PDF署名は、必ずしもファイル全体に適用されるわけではない。例えばPDFファイルは署名を適用した後に、新たな要素を加えることができる。その場合、追加部分は署名の対象外となり、結果的には部分的にしか署名されないことになる。
PDFビュワーのデジタル署名検証機能は、こうしたシステムで安全に運用するには適していない。調査対象のPDFビュワーのほとんどは、デジタル署名されたPDFファイルに単純な変更を加えると、部分的な欠陥があるファイルだと認識する。しかしPDFビュワーをだますことは可能だ。
調査で検証した攻撃の一つでは、デジタル署名済みPDFファイルを対象に、ファイル内容を変更しながらも、署名がファイル全体に対して有効だとPDFビュワーに誤認させた。暗号化の秘密鍵を使わずに作成した欠陥のある署名を、署名検証機能に有効だと誤認させる攻撃も成功した。
PDF署名のセキュリティが問題視されるのは初めてではない。2010年にもセキュリティ専門家のフロリアン・ザンビエール氏が、同様の攻撃が可能なことを実証したが、あまり注目されなかった。
ボーフム大学の研究者チームが公開した調査結果は、PDF署名の検証機能を正確に実装するのは難しく、実装上の欠陥が発生しやすいことを示している。これは古い暗号規格に特にありがちなケースだ。こうした暗号規格は理論上安全だが、多くの場合落とし穴がある。古くからある暗号規格を実装したソフトウェアには、重大な脆弱性がある可能性が高い。
デジタル署名検証機能のあるPDFビュワーを使うときは、ベンダーに「その製品の署名検証機能は、暗号技術の専門家によってセキュリティを保証されているか」と尋ねるべきだろう。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
“攻撃者優位”なサイバーセキュリティ、全ての「穴」をふさぐ方法とは？ -
製品資料
実際に悪用される脆弱性は4％前後 優先的に対処すべき脆弱性を把握するには？ -
製品資料
HubSpotの機能を拡張する法人データ活用法 -
製品資料
面倒で非生産的な「名寄せ」作業 高精度＆高効率に実施するには？ -
製品資料
名刺管理には「その先」がある 成果のでない営業活動から脱却する秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
2
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
3
AWS障害でも補償ゼロの衝撃 サイバー保険で情シスが見落とす「細則の壁」
-
4
マンガで解説：採択率は3割台？ デジタル化・AI導入補助金申請の落とし穴
-
5
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
6
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
7
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
8
IT人材の42％が転職予備軍 辞めさせない組織の4つの共通
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「WSUS」終了の時限爆弾 “本命”移行先ツールとMicrosoft提唱の新管理手法
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
財務・会計はAI活用でどう変わる？ 調査で見えた変革の道筋
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
「結局、一部の人しか使わない」 AI活用が業務に定着しない根本的な理由
-
7
コスト分析で見る「デバイス復旧」の代償 損失額から導きだされた投資戦略とは
-
8
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
9
ゼロトラストにおける「IDaaSの課題」と補完すべき重要機能とは？
-
10
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー