PGP und S/MIME: Efail und Sicherheitslücken

Sebastian Schinzel und sein Team haben in PGP und S/MIME Sicherheitslücken veröffentlicht. Sie zeigen fehlende Empfängerverifizierung, nicht umgesetzte Intigritätssicherungen (MDC) und Gefahren im allgemeinen Protokoll.

Auswirkung:

  • Angreifer können sich (teil-)entschlüsselte Nachrichten zukommen lassen
  • Es werden keine Schlüssel extrahiert

Vorgehensweise:

  • Angreifer muss E-Mail abfangen und weiterleiten
  • Fügt am Anfang der E-Mail eine geöffnete Commandline mit eigener URL und am Ende der Nachricht das schließende Zeichen
  • oder entfernt MDC
  • oder manipuliert MDC, welches dann nur zu einer Teilentzifferung führt.

Workaround:

  • HTML in E-Mails deaktivieren
  • Verschlüsselten Text nicht im E-Mail Client entziffern lassen
  • Intigritätssicherung (MDC) aktivieren

Die nächsten Schritte:

  • E-Mail Client aktualisieren, da schon einige ein Update bereitstellen
  • OpenPGP bekommt eventuell eine verbesserte Integrationssicherung wie Authenticated Encryption
  • S/MIME bisher noch keine Änderung in Sicht

Forumsdiskussion

bb10qnx

Durch die weitere Nutzung der Seite stimmst du der Verwendung von Cookies zu. Weitere Informationen

Die Cookie-Einstellungen auf dieser Website sind auf "Cookies zulassen" eingestellt, um das beste Surferlebnis zu ermöglichen. Wenn du diese Website ohne Änderung der Cookie-Einstellungen verwendest oder auf "Akzeptieren" klickst, erklärst du sich damit einverstanden.

Schließen