В документе, опубликованном в понедельник, эксперты по безопасности описывают две атаки, которые злоумышленники могут использовать для получения доступа ко всей папке входящих сообщений цели.
Группа исследователей безопасности обнаружила «критические уязвимости» в распространенных инструментах шифрования электронной почты PGP и S/MIME, побуждая пользователей отключать почтовые плагины до тех пор, пока не будет разработано исправление.
В документе, опубликованном в понедельник, группа изложила процесс проверки концепции того, как злоумышленники могут использовать слабые места в том, как почтовые клиенты, такие как Apple Mail, iOS Mail и Mozilla Thunderbird, управляют HTML в сообщениях.
«Атака работает для электронных писем, даже если они были собраны давно, и срабатывает, как только получатель расшифровывает одно вредоносное электронное письмо от злоумышленника», - написали исследователи в статье, которая дублирует использует «атаки Efail».
Успешная атака теоретически может предоставить злоумышленникам доступ ко всему содержимому почтового ящика цели. Фонд Electronic Frontier Foundation предоставил упрощенное объяснение двух методов атаки:
«Первая атака - это атака «прямой эксфильтрации», которая вызвана деталями того, как почтовые клиенты выбирают отображение HTML для пользователя. Злоумышленник создает сообщение, включающее старое зашифрованное сообщение. Новое сообщение построено таким образом, что почтовая программа отображает все расшифрованное сообщение, включая захваченный зашифрованный текст, как незашифрованный текст. Затем парсер HTML почтового клиента немедленно отправляет или «эксфильтрирует» расшифрованное сообщение на сервер, который контролирует злоумышленник.
Вторая атака злоупотребляет занижением определенных деталей в стандарте OpenPGP для передачи содержимого электронной почты злоумышленнику путем изменения ранее захваченного зашифрованного текста».
PGP, что означает «довольно хорошая защита», и S/MIME уже давно являются стандартами сквозного шифрования электронной почты. Эти инструменты помогают таким людям, как журналисты и осведомители, быть достаточно уверенными в том, что конфиденциальная информация доступна для чтения только отправителю и получателю. Но сегодняшняя статья вызвала споры в криптографическом сообществе об уровне безопасности, который могут обеспечить эти инструменты, и о том, чего следует ожидать пользователям.
Наша коллективная неспособность спроектировать и развернуть пригодную для использования безопасную систему электронной почты в масштабе является одной из самых досадных неудач сообщества прикладной криптографии.
- Мэтт Блейз (@mattblaze) 14 мая 2018 г.
На практике урок таков: не существует такой вещи, как «теоретическая уязвимость». Есть уязвимости, которые можно использовать, и уязвимости, которые еще не были использованы. Нам нужно строить системы, как мы признаем это. 16/16
- Мэтью Грин (@matthew_d_green) 14 мая 2018 г.
Ведутся серьезные споры об уязвимостях Efail и о том, не преувеличены ли они. Противники утверждают, что эксфильтрация открытого текста происходит только в том случае, если пользователи делают небезопасные вещи, такие как включение HTML-почты и игнорирование сообщений об ошибках. Филиппо приводит отличный контраргумент.
- Дэн Гудин (@dangoodin001) 14 мая 2018 г.
В краткосрочной перспективе исследователи и Electronic Frontier Foundation (EFF) рекомендуют пользователям отключить плагины PGP и использовать платформы обмена сообщениями, не основанные на электронной почте, для расшифровки сообщений, пока не будет разработано долгосрочное решение.