Firmar documentos en PDF no sirve de nada: así lo han demostrado investigadores de seguridad alemanes, que han puesto a prueba 22 aplicaciones de visualización de documentos PDF, así como siete páginas web para firmar PDF, y prácticamente todos han fallado y han permitido falsificar firmas.
Descubren graves vulnerabilidades en la firma de documentos PDF
Así lo han revelado académicos de la Universidad Ruhr de Bochum en Alemania, donde han roto el documento PDF firmado digitalmente es una prueba aceptable en un juicio, y pueden usarse como contratos vinculantes, para aprobar transacciones financieras, o para validar anuncios o comunicaciones de prensa. Poder usar un certificado falso para un documento PDF oficial puede llegar a generar robo de dinero.
Tres vulnerabilidades presente en casi todos los lectores de PDF: solo se salva 1 de 22
Las tres vulnerabilidades presentes en los tres servicios son las siguientes:
- Universal Signature Forgery (USF): vulnerabilidad que permite a un atacante engañar al proceso de verificación de la firma al mostrar una ventana falsa al diciéndole que la firma es válida.
- Incremental Saving Attack (ISA): vulnerabilidad que permite añadir contenido extra a un documento PDF firmado sin romper la firma que ya tiene.
- Signature Wrapping (SWA): similar a ISA, permite validar el contenido extra que se añade con ISA y «sumarlo» de manera incremental al contenido ya firmado previamente.
Si utilizas uno de los lectores y editores de PDF, es conveniente que lo actualices de inmediato, ya que ahora mismo ya habrá una actualización correspondiente para el programa. Adobe Acrobat Reader, el primero del listado, solo era vulnerable al ataque que permitía mostrar una falsa ventana para hacer ver que el documento estaba firmado cuando en realidad no lo estaba.
En el caso de Foxit Reader encontramos lo opuesto: era inmune a la ventana, pero era vulnerable a las dos peores vulnerabilidades. LibreOffice era de los más seguros, aunque solo detectaba ISA cuando el certificado era de confianza.
