#EFAIL уязвимост: Какво трябва да направят потребителите на PGP и S / MIME в момента

Екип от европейски изследователи твърди, че е открил критични уязвимости в PGP / GPG и S / MIME. PGP, което означава „Pretty Good Privacy“, е код, използван за криптиране на комуникации, обикновено имейл. S / MIME, което означава Secure / Multipurpose Internet Mail Extension, е начин за подписване и криптиране на съвременна електронна поща и всички разширени набори от знаци, прикачени файлове и съдържание, което съдържа. Ако искате същото ниво на защита на електронната поща, както и при криптирани съобщения от край до край, вероятно използвате PGP / S / MIME. И в момента те може да са уязвими за хакове.

Дани О'Брайън и Гени Генхарт, писател за EFF:

Група европейски изследователи по сигурността пуснаха предупреждение за набор от уязвимости, засягащи потребителите на PGP и S / MIME. EFF поддържа комуникация с изследователския екип и може да потвърди, че тези уязвимости представляват незабавно риск за тези, които използват тези инструменти за комуникация по имейл, включително потенциалната експозиция на съдържанието от миналото съобщения.

instagram viewer

И:

Нашият съвет, който отразява този на изследователите, е да незабавно деактивирайте и / или деинсталирайте инструменти, които автоматично дешифрират PGP-криптиран имейл. Докато недостатъците, описани в статията, станат по-широко разбрани и отстранени, потребителите трябва да организират използването на алтернативни защитени канали от край до край, като например Signal, и временно спрете да изпращате и особено четете PGP-криптирани електронна поща.

Дан Гудин в Ars Technica бележки:

Както Schinzel, така и публикацията в блога на EFF насочиха засегнатите към инструкциите на EFF за деактивиране на приставки в Thunderbird, macOS Mail и Outlook. Инструкциите казват само за „деактивиране на интеграцията на PGP в имейл клиенти“. Интересното е, че няма съвет за премахване на PGP приложения като Gpg4win, GNU Privacy Guard. След като инструментите за приставки бъдат премахнати от Thunderbird, Mail или Outlook, публикациите на EFF казват: „Вашите имейли няма да бъдат автоматично декриптиран. "В Twitter служителите на EFF продължиха:„ не дешифрирайте криптирани PGP съобщения, които получавате с помощта на вашия имейл клиент. "

Вернер Кох, на GNU Privacy Guard Twitter акаунт и gnupg пощенски списък получиха доклада и отвърнаха:

Темата на тази статия е, че HTML се използва като заден канал за създаване на оракул за модифицирани криптирани пощи. Отдавна е известно, че HTML пощите и по-специално външните връзки като са зли, ако MUA всъщност ги почита (което мнозина междувременно изглежда правят отново; вижте всички тези бюлетини). Поради счупените MIME парсери, куп MUA изглежда обединяват декриптирани HTML mime части, което улеснява поставянето на такива HTML фрагменти.

Има два начина за смекчаване на тази атака

• Не използвайте HTML поща. Или ако наистина трябва да ги прочетете, използвайте подходящ MIME парсер и забранете всеки достъп до външни връзки.

• Използвайте удостоверено криптиране.

Тук има какво да се пресее и изследователите не разкриват своите открития на обществеността до утре. Така че, междувременно, ако използвате PGP и S / MIME за криптиран имейл, прочетете статията EFF, прочетете gnupg пощата и след това:

• Ако се чувствате най-малко загрижени, временно деактивирайте криптирането на имейл в Outlook, macOS Mail, Thunderbirdи т.н. и превключете на нещо като Signal, WhatsApp или iMessage за сигурна комуникация, докато прахът се уталожи.
• Ако не ви притеснява, все пак следете историята и вижте дали нещо ще се промени през следващите няколко дни.

Винаги ще има експлойти и уязвимости, потенциални и доказани. Важното е, че те се разкриват етично, докладват се отговорно и се обръщат бързо към тях.

Ще актуализираме тази история, когато стане известно повече. Междувременно, позволете ми, ако използвате PGP / S / MIME за криптиран имейл и ако да, какъв е вашият подход?