ミュンスター応用科学大学の研究者は、電子メールの暗号化に使用される Pretty Good Protection (PGP) および S/MIME テクノロジーの脆弱性を発見しました。 問題はその方法にあります 電子メールクライアント これらのプラグインを使用して、HTML ベースの電子メールを復号化します。 個人および企業は、現時点では電子メール クライアントで PGP および/または S/MIME を無効にし、メッセージ暗号化に別のアプリケーションを使用することをお勧めします。
EFAILと呼ばれるこの脆弱性は、リモート サーバーに保存されている画像、ページ スタイル、その他の非テキスト コンテンツなど、HTML ベースの電子メール内でレンダリングされる「アクティブな」コンテンツを悪用します。 攻撃を成功させるには、盗聴や電子メール サーバーへのハッキングなど、ハッカーはまず暗号化された電子メールを入手する必要があります。
おすすめ動画
1 つ目の攻撃手法は「直接抽出」と呼ばれるもので、Apple Mail、iOS Mail、Mozilla Thunderbird の脆弱性を悪用します。 攻撃者は、イメージ リクエスト タグの先頭、「盗まれた」PGP または S/MIME 暗号文、イメージ リクエスト タグの末尾の 3 つの部分で構成される HTML ベースの電子メールを作成します。 その後、攻撃者はこの修正された電子メールを被害者に送信します。
被害者側では、電子メール クライアントが最初に 2 番目の部分を復号化し、次に 3 つすべてを 1 つの電子メールに結合します。 次に、すべてをハッカーのアドレスで始まる URL 形式に変換し、その URL にリクエストを送信して、存在しない画像を取得します。 ハッカーは、復号化されたメッセージ全体を含むイメージ要求を受け取ります。
2 番目の方法は「CBC/CFB ガジェット攻撃」と呼ばれるもので、PGP および S/MIME 仕様内に存在し、すべての電子メール クライアントに影響を与えます。 この場合、攻撃者は盗んだ電子メール内で暗号化された平文の最初のブロックを特定し、ゼロで埋められた偽のブロックを追加します。 次に、攻撃者は暗号化された平文にイメージ タグを挿入し、単一の暗号化された本文部分を作成します。 被害者のクライアントがメッセージを開くと、平文がハッカーに公開されます。
結局、使わなければ 電子メール暗号化に PGP または S/MIME を使用している場合は、心配する必要はありません。 ただし、これらのテクノロジーを日常的に使用している個人、企業、企業は、関連するプラグインを無効にし、サードパーティのクライアントを使用して電子メールを暗号化することをお勧めします。 信号 (iOS, アンドロイド). そして、なぜなら 不合格 HTML ベースの電子メールに依存しているため、現時点では HTML レンダリングを無効にすることもお勧めします。
「この脆弱性は、過去に送信された暗号化メールの内容を解読するために悪用される可能性があります。 1993 年から PGP を使用しているので、これはひどいことのように思えます (原文どおり)。」 F-Secureのミッコ・ヒッポネン氏 とツイートに書きました。 彼 後で言った ビジネス秘密や機密情報などの理由で人々が暗号化を使用していること。
研究者らによると、「一部の」電子メール クライアント開発者はすでに EFAIL を排除するパッチの開発に取り組んでいます。 完全に、または エクスプロイトの達成が困難になります。 彼らは、PGP と S/MIME 標準の更新が必要だが、それには「時間がかかる」と言っています。 技術文書全文 ここで読むことができます.
この問題が最初にリークされたのは、 南ドイツ新聞 予定されている報道禁止措置の前に新聞に掲載された。 後に EFF は研究者に連絡しました 脆弱性を確認するために、研究者らは技術文書を時期尚早にリリースすることを余儀なくされました。
編集者のおすすめ
- この重大なエクスプロイトにより、ハッカーが Mac の防御を回避できる可能性があります
- 新しい COVID-19 フィッシングメールによりビジネス秘密が盗まれる可能性があります
- 今すぐ Mac を更新して、スパイアプリへのフルアクセスを可能にする脆弱性を修正してください
- Google、ハッカーは何年にもわたってiPhoneのデータにアクセスできていたと発表
- ハッカーは、あなたから送信されたかのように偽の WhatsApp メッセージを送信する可能性があります
ライフスタイルをアップグレードするDigital Trends は、読者が最新ニュース、楽しい製品レビュー、洞察力に富んだ社説、ユニークなスニーク ピークをすべて提供して、ペースの速いテクノロジーの世界を監視するのに役立ちます。
