Onderzoekers van de Munster University of Applied Sciences ontdekten kwetsbaarheden in de Pretty Good Protection (PGP) en S/MIME-technologieën die worden gebruikt om e-mail te versleutelen. Het probleem zit hem in de manier waarop e-mailclients gebruik deze plug-ins om op HTML gebaseerde e-mails te decoderen. Individuen en bedrijven worden aangemoedigd om PGP en/of S/MIME voorlopig uit te schakelen in hun e-mailclients en een aparte applicatie voor berichtversleuteling te gebruiken.
EFAIL gebeld, maakt de kwetsbaarheid misbruik van ‘actieve’ inhoud die wordt weergegeven in op HTML gebaseerde e-mails, zoals afbeeldingen, paginastijlen en andere niet-tekstuele inhoud die is opgeslagen op een externe server. Om een aanval met succes uit te kunnen voeren, moet de hacker eerst de gecodeerde e-mail in bezit hebben, of dit nu gebeurt door afluisteren, het hacken van een e-mailserver, enzovoort.
Aanbevolen video's
De eerste aanvalsmethode heet “Direct Exfiltratie” en maakt misbruik van kwetsbaarheden in Apple Mail, iOS Mail en Mozilla Thunderbird. Een aanvaller maakt een op HTML gebaseerde e-mail die uit drie delen bestaat: het begin van een afbeeldingsverzoektag, de "gestolen" PGP- of S/MIME-cijfertekst en het einde van een afbeeldingsverzoektag. De aanvaller stuurt deze herziene e-mail vervolgens naar het slachtoffer.
Aan de kant van het slachtoffer decodeert de e-mailclient eerst het tweede deel en combineert deze vervolgens alle drie in één e-mail. Vervolgens converteert het alles naar een URL-formulier, beginnend met het adres van de hacker, en stuurt een verzoek naar die URL om de niet-bestaande afbeelding op te halen. De hacker ontvangt het afbeeldingsverzoek, dat het volledige gedecodeerde bericht bevat.
De tweede methode heet de “CBC/CFB Gadget Attack”, die binnen de PGP- en S/MIME-specificaties valt en alle e-mailclients beïnvloedt. In dit geval lokaliseert de aanvaller het eerste blok gecodeerde leesbare tekst in de gestolen e-mail en voegt een nepblok vol nullen toe. De aanvaller injecteert vervolgens afbeeldingstags in de gecodeerde platte tekst, waardoor één enkel gecodeerd lichaamsdeel ontstaat. Wanneer de cliënt van het slachtoffer het bericht opent, wordt de platte tekst zichtbaar voor de hacker.
Uiteindelijk, als je het niet gebruikt PGP of S/MIME voor e-mailversleuteling, dan hoeft u zich nergens zorgen over te maken. Maar individuen, bedrijven en bedrijven die deze technologieën dagelijks gebruiken, wordt geadviseerd om gerelateerde plug-ins uit te schakelen en een externe client te gebruiken om e-mails te versleutelen, zoals Signaal (iOS, Android). En omdat EFAIL vertrouwt op HTML-gebaseerde e-mails, het uitschakelen van HTML-weergave wordt voorlopig ook geadviseerd.
“Deze kwetsbaarheid kan worden gebruikt om de inhoud van gecodeerde e-mails die in het verleden zijn verzonden te decoderen. Omdat ik PGP sinds 1993 gebruik, klinkt dit baaad (sic),” Mikko Hyponen van F-Secure schreef in een tweet. Hij zei later dat mensen encryptie om een reden gebruiken: bedrijfsgeheimen, vertrouwelijke informatie en meer.
Volgens de onderzoekers werken “sommige” ontwikkelaars van e-mailclients al aan patches die EFAIL elimineren helemaal of maakt de exploits moeilijker te verwezenlijken. Ze zeggen dat de PGP- en S/MIME-standaarden een update nodig hebben, maar dat “zal enige tijd duren.” Het volledige technische document kunt u hier lezen.
Het probleem werd voor het eerst gelekt door de Süddeutschen Zeitun krant voorafgaand aan het geplande nieuwsembargo. Na de EFF nam contact op met de onderzoekers Om de kwetsbaarheden te bevestigen, werden de onderzoekers gedwongen het technische artikel voortijdig vrij te geven.
Aanbevelingen van de redactie
- Door deze kritieke exploit kunnen hackers de verdediging van uw Mac omzeilen
- Nieuwe COVID-19-phishing-e-mails kunnen uw bedrijfsgeheimen stelen
- Update uw Mac nu om de kwetsbaarheid te verhelpen die volledige toegang geeft tot spionage-apps
- Google zegt dat hackers al jaren toegang hebben tot uw iPhone-gegevens
- Hackers kunnen WhatsApp-berichten vervalsen waardoor het lijkt alsof ze van u afkomstig zijn
Upgrade uw levensstijlMet Digital Trends kunnen lezers de snelle technische wereld in de gaten houden met het laatste nieuws, leuke productrecensies, inzichtelijke redactionele artikelen en unieke sneak peeks.
