Munster University of Applied Sciences의 연구원들은 이메일 암호화에 사용되는 PGP(Pretty Good Protection) 및 S/MIME 기술에서 취약점을 발견했습니다. 문제는 어떻게 하느냐에 있다. 이메일 클라이언트 HTML 기반 이메일을 해독하려면 이 플러그인을 사용하세요. 개인과 회사는 현재 이메일 클라이언트에서 PGP 및/또는 S/MIME을 비활성화하고 메시지 암호화를 위해 별도의 애플리케이션을 사용하는 것이 좋습니다.
EFAIL이라고 함, 취약점은 이미지, 페이지 스타일, 원격 서버에 저장된 기타 텍스트가 아닌 콘텐츠 등 HTML 기반 이메일 내에 렌더링된 "활성" 콘텐츠를 악용합니다. 공격을 성공적으로 수행하려면 해커는 도청, 이메일 서버 해킹 등을 통해 먼저 암호화된 이메일을 소유해야 합니다.
추천 동영상
첫 번째 공격 방법은 '직접 추출'이라고 하며 Apple Mail, iOS Mail, Mozilla Thunderbird의 취약점을 악용합니다. 공격자는 이미지 요청 태그의 시작, "도난당한" PGP 또는 S/MIME 암호 텍스트, 이미지 요청 태그의 끝이라는 세 부분으로 구성된 HTML 기반 이메일을 생성합니다. 그런 다음 공격자는 수정된 이메일을 피해자에게 보냅니다.
피해자 측에서 이메일 클라이언트는 먼저 두 번째 부분을 해독한 다음 세 가지를 모두 하나의 이메일로 결합합니다. 그런 다음 모든 것을 해커의 주소로 시작하는 URL 형식으로 변환하고 존재하지 않는 이미지를 검색하기 위해 해당 URL에 요청을 보냅니다. 해커는 해독된 메시지 전체가 포함된 이미지 요청을 받습니다.
두 번째 방법은 "CBC/CFB Gadget Attack"으로, PGP 및 S/MIME 사양에 존재하며 모든 이메일 클라이언트에 영향을 미칩니다. 이 경우 공격자는 훔친 이메일에서 암호화된 일반 텍스트의 첫 번째 블록을 찾아 0으로 채워진 가짜 블록을 추가합니다. 그런 다음 공격자는 암호화된 일반 텍스트에 이미지 태그를 삽입하여 암호화된 단일 본문 부분을 생성합니다. 피해자의 클라이언트가 메시지를 열면 일반 텍스트가 해커에게 노출됩니다.
결국 사용하지 않으면 이메일 암호화를 위한 PGP 또는 S/MIME이라면 걱정할 것이 없습니다. 그러나 이러한 기술을 매일 사용하는 개인, 회사 및 기업은 관련 플러그인을 비활성화하고 타사 클라이언트를 사용하여 다음과 같은 이메일을 암호화하는 것이 좋습니다. 신호 (iOS, 기계적 인조 인간). 때문에 실패 HTML 기반 이메일을 사용하므로 현재로서는 HTML 렌더링을 비활성화하는 것이 좋습니다.
“이 취약점은 과거에 전송된 암호화된 이메일의 내용을 해독하는 데 사용될 수 있습니다. 1993년부터 PGP를 사용해왔는데, 이건 정말 말도 안 되는 소리처럼 들립니다.” F-Secure의 Mikko Hypponen 트윗에 썼다. 그 나중에 말했다 사람들이 암호화를 사용하는 이유는 비즈니스 비밀, 기밀 정보 등입니다.
연구원에 따르면 "일부" 이메일 클라이언트 개발자는 이미 EFAIL을 제거하는 패치를 개발하고 있습니다. 전부 또는 공격을 수행하기가 더 어려워집니다. 그들은 PGP와 S/MIME 표준에 업데이트가 필요하지만 “시간이 좀 걸릴 것”이라고 말합니다. 전체 기술 문서 여기에서 읽을 수 있습니다.
문제는 처음으로 유출되었습니다. 쥐트도이첸 차이툰 예정된 뉴스 금수 조치 이전의 신문. 후 EFF는 연구원들에게 연락했습니다. 취약점을 확인하기 위해 연구원들은 기술 문서를 조기에 공개해야 했습니다.
편집자의 추천
- 이 중요한 악용으로 인해 해커가 Mac의 방어를 우회할 수 있습니다.
- 새로운 코로나19 피싱 이메일은 귀하의 비즈니스 비밀을 훔칠 수 있습니다
- 스파이 앱에 대한 전체 액세스 권한을 부여하는 취약점을 해결하려면 지금 Mac을 업데이트하세요.
- 구글은 해커들이 수년 동안 당신의 아이폰 데이터에 접근해 왔다고 밝혔습니다.
- 해커는 마치 당신이 보낸 것처럼 보이는 WhatsApp 메시지를 위조할 수 있습니다.
당신의 라이프스타일을 업그레이드하세요Digital Trends는 독자들이 모든 최신 뉴스, 재미있는 제품 리뷰, 통찰력 있는 사설 및 독특한 미리보기를 통해 빠르게 변화하는 기술 세계를 계속 확인할 수 있도록 도와줍니다.
