【扭曲原意】PDF認證簽章漏洞 注釋、簽名權限可被利用插入惡意內容
PDF 的認證簽章 (Certification Signatures) 原本具有確保檔案無法被竄改的功能，但有安全專家就發現，這種認證技術存在安全漏洞，黑客可透過兩種方法去修改 PDF 檔案內容，而不影響簽章的有效性。研究員更發現 26 款 PDF 應用程式中，有 24 款至少存在一種漏洞，當中更包括 Adobe……
PDF 的數碼簽章格式可分為兩種，分別是 Approval Signatures 及 Certification Signatures，而以後者提供較高彈性，可允許修改檔案中部分項目，例如加入注釋，以及數碼簽名。而德國 Bochum 大學的研究員便深入了解這種彈性背後有否可被利用的空間，結果便發現到邪惡注釋攻擊 (Evil Annotation Attack, EAA) 及鬼祟簽名攻擊 (Sneaky Signature Attack, SSA) 的可能性，並於第 42 屆 IEEE Security and Privacy 大會上公開。
EAV 攻擊的原理是利用 PDF 檔案 Certification Signatures 數碼簽章容許加入注釋的權限，研究員便嘗試於文件中的注釋部分插入惡意編碼，再傳送給目標人物；SSA 則利用了原本供收件者加入數碼簽名的權限，研究員便嘗試在文件內添加一層新的內容，如合約內的收費欄目，掩蓋原本的費用。結果兩項攻擊都有曾各自在一些 PDF 應用程式上成功執行，而由於兩者都是 Certification Signatures 所容許，因此即使內容曾被修改，也不會對 PDF 檔案的製作者或收件者發出警告。
研究內又指出，研究員曾測試了市面上 26 款 PDF 應用軟件，發現至少有 15 款包含一種漏洞，當中最有名氣的 Adobe Acrobat Reader 更是兩樣皆備。不過在研究員舉報後，現時 Adobe 已推出更新檔堵塞漏洞。另外，研究員建議如要防止黑客利用這些漏洞修改檔案，PDF 應用軟件開發者亦禁止使用 FreeText、Stamp 及 Redact 等注釋，並確保數碼簽名只能在指定區域簽署，便可阻止檔案被加入惡意編碼及以虛假內容覆蓋原文內容。
