Важливі документи Word, захищені підписом, усе ще можна змінити через уразливість. Корпорація Майкрософт виправила лише 5 із 4 уразливостей, які дозволяють модифікувати. Отже, за словами дослідників Рурського університету в Бохумі та Університету прикладних наук Майнца, проблема все ще існує.
Якщо ви хочете безпечно надіслати важливий документ Word у цифровому вигляді, ви можете захистити його за допомогою підпису. Тому що, як виявили дослідники з кафедри мережевої безпеки та безпеки даних Інституту ІТ-безпеки Горста Гьорца Рурського університету Бохума та Університету Майнца, непомічена маніпуляція документом для зловмисників — це дитяча гра. Саймон Рольманн, Владислав Младенов, Крістіан Майнка, Даніель Хіршбергер і Йорг Швенк виступлять із доповіддю про свою дослідницьку роботу «Кожен підпис зламано: про незахищеність підписів OOXML Microsoft Office» на відомій конференції з ІТ-безпеки «Usenix Security Symposium». місце з 9 по 11 серпня 2023 року в Каліфорнії, США.
Немає надійної цілісності документа
«Мета цифрового підпису — підтвердити цілісність документа», — пояснює Саймон Рольманн, який зараз працює в Університеті прикладних наук Майнца. Для цього, з одного боку, генерується підпис на основі алгоритмів відкритого ключа з закритим ключем, який можна перевірити, з іншого боку, за допомогою відкритого ключа. Таким чином особа, яка хоче надіслати документ, може захистити його від подальших зовнішніх впливів і все одно зробити його доступним для інших. Завдяки безпечному криптографічному процесу особа, яка його отримує, також може бути впевнена, що вміст документа дійсний.
Проте вчені виявили вразливість, яка дозволяє легко маніпулювати документами Microsoft Office Open XML (OOXML): «Ми визнали, що документи лише частково підписані. Наприклад, ви можете додати новий вміст або приховати підписаний вміст, щоб ніхто цього не помітив», — пояснює Саймон Рольманн.
П’ять варіантів атаки – повідомляє Microsoft
Вчені знайшли в цілому п'ять варіантів атак, які можливі через структурні невідповідності в системі Office: За словами вченого, розробники стандарту OOXML, мабуть, вирішили підписати лише частини пакета документів. «Це робить цифровий підпис на цих документах практично марним. Наприклад, зловмисник може використовувати підписані документи, щоб зробити атаки, засновані на соціальній інженерії, особливо надійними, оскільки документ містить дійсний підпис керівника», — резюмує Саймон Ролманн.
Формати файлів на основі XML, на які це впливає, використовуються Microsoft з 2007 року. Користувачі зазвичай впізнають їх за суфіксом -X в назві файлу; file.docx або file.xlsx. Їхня головна перевага полягає в тому, що вони потребують мало місця для зберігання завдяки технології стиснення та, на відміну від своїх попередників, мають фактично забезпечувати більший рівень безпеки.
Виправлено лише чотири вразливості
Коли вчені вперше виявили прогалини в безпеці в 2022 році, вони негайно повідомили про це Microsoft і відповідальний орган стандартизації. Однак компанія не відразу усунула проблему, незважаючи на неодноразові контакти дослідників.
З минулого місяця в роздрібній версії Microsoft Office 2021 (версія 2305 (збірка 16501.20210)) був можливий лише один із п’яти варіантів атаки, атака Universal Signature Forgery (USF), усі інші виправлено. «Атаки ще не виправлено в останній версії LTSC Microsoft Office 2021 (версія 2108 (збірка 14332.20517)), — говорить Рольманн (станом на п’ятницю, 16.6.2023 червня XNUMX р.).
Ідея дослідження цієї вразливості ґрунтується на успіху іншої наукової роботи, яку команда кафедри безпеки мереж і даних опублікувала в 2019 році: тут вчені з Бохума змогли вперше довести, що обхід цифрових підписів у документах PDF це неможливо для багатьох програм. З тих пір дослідники регулярно присвячують себе дослідженню підписів, які стають все більш і більш поширеними в професійному житті або в офіційному контексті. Однак Саймон Рольманн не може точно оцінити, наскільки широко спектр підписів Microsoft Office використовується в цій сфері.
Дослідники також опублікували відповідну білу книгу про вразливість.
Безпосередньо до білої книги на Usenix.org