有关电子邮件加密技术漏洞的初步报告已敦促组织禁用加密工具,但一些安全专家正在采取更加平衡的方法

德国和比利时的研究人员警告说,通过强迫客户将电子邮件的完整明文发送给攻击者,使用Pretty Good Privacy(PGP)和安全的多用途互联网邮件扩展(S / MIME)来破坏电子邮件加密的潜在攻击。

组织使用PGP和S / MIME加密,因为它们都为电子邮件通信添加了额外的安全层,如果使用得当,这两种技术都可以保证电子邮件的机密性和真实性,即使攻击者可以完全访问电子邮件帐户也是如此。

研究人员称,“Efail”描述了OpenPGP和S / MIME中泄漏加密电子邮件明文的漏洞。

其中一位研究人员,管理明斯特应用科学大学IT安全实验室的Sebastian Schinzel在推文中写道:“ 目前还没有可靠的漏洞修复方法。如果您使用PGP / GPG或S / MIME进行非常敏感的通信,您现在应该在电子邮件客户端禁用它。“

该研究还促使电子自由基金会(EFF)发出警告,警告过去发送的加密邮件可能会通过利用漏洞进行暴露。

EFF还建议用户停止使用PGP / GPG加密,直到问题得到更广泛的理解和修复,提供有关如何在电子邮件客户端中禁用PGP / GPG(GNU隐私保护)加密插件的链接。

EFF在博客文章中表示,用户应安排使用其他端到端安全通道,如Signal 。

总之,研究人员表示,Efail攻击滥用HTML电子邮件的活动内容- 例如,外部加载的图像或样式 - 通过请求的URL来泄露明文。

虽然这听起来令人担忧,但研究人员承认,为了创建这些渗透渠道,攻击者首先需要访问加密的电子邮件,例如,通过窃听网络流量,破坏电子邮件帐户,电子邮件服务器,备份系统或客户端计算机。

然后,攻击者将以特定方式更改加密的电子邮件,并将此更改的加密电子邮件发送给受害者。受害者的电子邮件客户端对电子邮件进行解密并加载任何外部内容,从而将明文泄露给攻击者。

对Efail攻击的过度反应
虽然攻击是“偷偷摸摸”,但独立安全顾问Graham Cluley是几位专家之一,他们表示Efail攻击的重要性和严重性被夸大了。

研究人员明确指出:“Efail攻击要求攻击者可以访问您的S / MIME或PGP加密电子邮件。因此,只有攻击者已经可以访问您的电子邮件时,您才会受到影响。“

根据克鲁利的说法,这一事实使得成功利用这些新发现的漏洞成为一种不太可能存在的风险。

“如果恶意黑客已经可以访问您的电子邮件服务器,网络等,那么他们可能会采取各种更糟糕,更少复杂的事情来使您的生活变得悲惨,窃取秘密并破坏您的隐私,”他写道:一篇博文。

Cluley还强调,由于Efail攻击依赖于过去发送到目标的加密电子邮件,因此它是一种可见且明显的攻击方法,可以使用扫描传入电子邮件的脚本轻松识别格式错误的IMG标记。

Cluley是几位安全专家之一,他们指出Efail并不依赖于所使用的PGP / GPG的任何固有弱点,因为它利用了那些没有告诉他们的电子邮件客户端阻止远程或外部内容被自动呈现的用户。

保持电子邮件补丁是最新的
研究人员呼吁更新MIME,S / MIME和OpenPGP标准,称Efail攻击利用这些标准中的缺陷和未定义的行为。

Cluley还指出这不是一个新问题 - 自2000年以来,人们就已经知道了试图显示损坏的S / MIME消息的邮件客户端的根本问题。

据Cluley说,Efail并不是PGP / GPG用户完全禁用它的好理由。但是,他确实指出,存在不会面临相同挑战的替代端到端加密消息传递解决方案。

虽然Efail不是恐慌的理由,但建议组织使用最新的安全补丁更新所有电子邮件客户端。Cluley说,组织还应该考虑禁用远程内容的呈现,直到问题得到解决,防止自动解密电子邮件消息,并要求用户手动请求解密,以减少通过活动内容泄漏数据的机会。

研究人员称,他们已经“负责任地”向国际计算机应急准备小组(Certs),GNU PG开发人员和受影响的供应商披露了他们的调查结果,这些供应商已经应用(或正在应用)对策。

“请注意,一般情况下,这些对策都是特定的修补程序,我们不能排除有进一步反向通道或泄漏的扩展攻击,”他们说。

研究人员还警告说,即使所有反向通道都关闭,这两种标准仍然容易受到攻击,攻击者可以修改电子邮件内容或将恶意代码注入附件,这些附件会在电子邮件客户端之外的环境中执行。无需对Efail攻击感到恐慌-IDC帮帮忙