Zraniteľnosť #EFAIL: Čo musia používatelia PGP a S / MIME urobiť práve teraz

Tím európskych vedcov tvrdí, že našiel kritické zraniteľnosti v PGP / GPG a S / MIME. PGP, čo je skratka pre Pretty Good Privacy, je kód používaný na šifrovanie komunikácie, obyčajne e-mailu. S / MIME, čo je skratka pre Secure / Multipurpose Internet Mail Extension, je spôsob, ako podpísať a zašifrovať moderný e-mail a všetky rozšírené znakové sady, prílohy a obsah, ktorý obsahuje. Ak chcete v e-mailoch rovnakú úroveň zabezpečenia ako v prípade šifrovaných správ typu end-to-end, pravdepodobne používate program PGP / S / MIME. A práve teraz môžu byť zraniteľní voči hackerom.

Danny O'Brien a Gennie Genhart, ktorí písali pre EFRH:

Skupina európskych bezpečnostných výskumníkov vydala varovanie pred súborom zraniteľností ovplyvňujúcich používateľov PGP a S / MIME. EFF komunikoval s výskumným tímom a môže potvrdiť, že tieto chyby sú bezprostredné riziko pre tých, ktorí používajú tieto nástroje na e-mailovú komunikáciu, vrátane možného vystavenia obsahu minulosti správ.

instagram viewer

A:

Naša rada, ktorá odráža radu výskumníkov, je okamžite deaktivujte alebo odinštalujte nástroje, ktoré automaticky dešifrujú e-mail šifrovaný pomocou PGP. Kým nebudú chyby popísané v článku lepšie pochopené a opravené, mali by si používatelia zariadiť použitie alternatívne zabezpečené kanály typu end-to-end, napríklad Signal, a dočasne prestať posielať a najmä čítať šifrované PGP e-mail.

Dan Goodin v Ars Technica poznámky:

Schinzel aj blogový príspevok EFF odkázali dotknuté osoby na pokyny EFF týkajúce sa zakázania doplnkov v Thunderbirde, MacOS Mail a Outlook. Pokyny hovoria iba o „deaktivácii integrácie PGP v e-mailových klientoch.“ Je zaujímavé, že neexistuje žiadna rada na odstránenie aplikácií PGP, ako sú Gpg4win, GNU Privacy Guard. Po odstránení nástrojov doplnku z Thunderbirdu, pošty alebo Outlooku sa v príspevkoch EFF uvádza: „vaše e-maily nebudú automaticky dešifrované. “Na Twitteri úradníci EFF ďalej povedali:„ nešifrujte šifrované správy PGP, ktoré dostávate pomocou svojho e-mailu zákazník."

Werner Koch, o ochrancovi súkromia GNU Twitter účet a zoznam adresárov gnupg sa zmocnil správy a odpovedal:

Témou tohto článku je, že HTML sa používa ako zadný kanál na vytvorenie Oracle pre upravené šifrované e-maily. Je dávno známe, že e-maily HTML a najmä externé odkazy, ako sú, sú zlé, ak si ich MUA skutočne ctí (čo sa zdá, že mnohí medzitým robia znova; pozri všetky tieto informačné vestníky). Kvôli rozbitým analyzátorom MIME sa zdá, že veľa MUA zreťazí dešifrované časti mime HTML, čo uľahčuje vkladanie takýchto útržkov HTML.

Existujú dva spôsoby, ako tento útok zmierniť

• Nepoužívajte e-maily HTML. Alebo ak si ich naozaj potrebujete prečítať, použite správny analyzátor MIME a zakážte akýkoľvek prístup k externým odkazom.

• Použite autentizované šifrovanie.

Je tu toho veľa, čo treba preosiať a vedci zverejňujú svoje zistenia pre verejnosť až zajtra. Ak medzitým teda používate šifrovaný e-mail PGP a S / MIME, prečítajte si článok EFF, prečítajte si správu gnupg a potom:

• Ak sa cítite najmenej znepokojení, dočasne vypnite šifrovanie e-mailov v Výhľad, MacOS Mail, Thunderbird, atď. a pre bezpečnú komunikáciu prepnite na niečo ako Signal, WhatsApp alebo iMessage, kým sa prach usadí.
• Ak nemáte obavy, stále sledujte príbeh a sledujte, či sa v priebehu nasledujúcich dní niečo zmení.

Vždy budú existovať výhody a slabé miesta, potenciálne a overené. Dôležité je, aby boli zverejňované eticky, zodpovedne a zodpovedne a aby boli rýchlo vyriešené.

Tento príbeh budeme aktualizovať, keď bude známe viac. Dovtedy mi dovoľte, ak používate PGP / S / MIME na šifrovaný e-mail, a ak áno, aký je váš názor?