Odkrita resna ranljivost v PGP in S/MIME šifriranju elektronske pošte - podrobnosti še niso znane

Slo-Tech - SKupian evropskih raziskovalcev je na Twiterju objavila opozorilo, da so v šifriranju elektronske pošte PGP/GPG in S/MIME našli skupino resnih ranljivosti, ki lahko napadalcu razkrijejo vsebino preteklih (šifriranih) sporočil.

Podrobnosti sicer še niso znane, jih bodo pa objavili jutri ob 9:00 zjutraj po našem času. Raziskovalci so s podrobnostmi ranljivosti predhodno seznanili Electronic Frontier Foundation, ki je potrdila, da gre za resno grožnjo.

Kot prvi ukrep se priporoča onemogočanje samodejnega dešifriranja sporočil, torej onemogočanje dodatkov za PGP/GPG šifriranje v poštnih odjemalcih (npr. Enigmail v odjemalcu Thunderbird, GPGTools v Apple Mail, Gpg4win v Outlook).

O podrobnostih bomo še poročali.

DODATEK: avtorji so predčasno objavili opis ranljivosti. Na kratko, gre za dve metodi. Prva je tim. neposredno uhajanje (angl. direct exfiltration), kjer napadalec vsebino šifriranega sporočila ukrade s pomočjo HTML image značke, vstavljene v ustrezno pripravljeno sporočilo. Druga metoda pa je tim. napad s CBC/CFB pripomočkom (angl. CBC/CFB Gadget Attack). Gre za napad, ki izkorišča specifičnost delovanja CBC (Cipher Block Chaining) šifriranja. Predpostavka tega napada je sicer, da napadalec pozna vsaj en polni blok navadnega besedila, kar pa v danem primeru ni problem, saj se S/MIME šifrirana e-poštna sporočila običajno začnejo s "Content-type: multipart/signed".

Kot omenjeno, je kratkoročna rešitev onemogočanje šifriranja v poštnem odjemalcu in onemogočanje HTML izrisa, dolgoročna rešitev pa bo zahtevala namestitev ustreznih posodobitev (ko bodo na voljo) ter popravek OpenPGP in S/MIME standardov.