郵件形同裸奔，PGP與S/MIME加密協議被曝嚴重漏洞

由9名學者組成的團隊向全世界發出警告，OpenPGP和S / MIME電子郵件加密工具中的嚴重漏洞。該研究小組稱，這個代號為EFAIL的漏洞如果被利用，將允許攻擊者從發送或接收的消息中提取明文內容。

「他們可能會透露加密電子郵件的明文，包括過去發送的加密電子郵件，」研究人員說。「目前沒有可靠的漏洞修復。」

Pretty Good Privacy是用於加密電子郵件的開源端對端加密標準，而S / MIME（安全/多用途Internet郵件擴展）是一種基於非對稱加密技術的技術，允許用戶發送經過數字簽名和加密的電子郵件。

Electronic Frontier Foundation（EFF）的研究人員也證實了這些漏洞的存在，他們建議用戶卸載Pretty Good Privacy和S / MIME應用程序，直到發布修復補丁為止。

專家們披露了兩種被稱為EFAIL的攻擊變體 ，在這兩種情況下，黑客需要處於加密電子郵件攔截的位置，例如黑客攻擊目標電子郵件賬戶或進行中間人攻擊（MitM）。

「EFAIL攻擊利用OpenPGP和S / MIME標準中的漏洞揭示加密電子郵件的明文。簡而言之，EFAIL濫用HTML電子郵件的活動內容，例如外部載入的圖像或樣式，通過請求URL來滲透明文。「研究人員發表的博客文章中稱。

「要創建這些滲透通道，攻擊者首先需要訪問加密的電子郵件，例如通過竊聽網路流量，攻擊電子郵件帳戶、電子郵件伺服器、備份系統或客戶端。這些電子郵件甚至可能是在幾年前收集的。「

攻擊者操縱受保護電子郵件中的密文，並將包含自定義HTML代碼的修改消息發送給原始接收者或發件人。

第一種被稱為直接滲透的攻擊技術，利用Apple Mail（針對iOS和MacOS）和Mozilla Thunderbird電子郵件客戶端的漏洞。攻擊者向目標用戶發送一封特製電子郵件，當受害者的客戶端打開並解密電子郵件時，攻擊者的代碼會導致應用程序將文本發送到攻擊者控制的伺服器，並且不會告知受害者。

直接滲濾技術可用於PGP和S / MIME。

第二種技術稱為CBC / CFB小工具攻擊，利用OpenPGP（CVE-2017-17688）和S / MIME（CVE-2017-17689）中的漏洞。在攻擊場景中，受害者需要擁有他們的私鑰，如果私鑰丟失，則不能使用這些技術。

黑客將操縱的電子郵件發送給原始接收者之一或者原始發件人，新的FROM，DATE和SUBJECT欄位來隱藏它，並且他可以通過隱藏操作的密文，將其隱藏在不可見的iFrame內。因此，受害者接收到攻擊郵件並不會產生懷疑。

一旦受害者打開攻擊郵件，被操縱的密文將被解密，同時包含一個泄露通道（如HTML超鏈接），將解密的銘文發送給攻擊者。

CBC / CFB小工具攻擊對PGP有效，研究人員觀察到成功率為33％。測試結果顯示，EFAIL攻擊對35個測試S / MIME電子郵件客戶端中的25個有效，28個測試OpenPGP客戶端中的10個受到影響。

雖然有必要改變OpenPGP和S / MIME標準，以可靠地修復這些漏洞，但Apple Mail，iOS Mail和Mozilla Thunderbird的執行漏洞更嚴重，允許直接透露純文本，這在技術上很容易執行。

許多安全專家低估了EFAIL攻擊技術的重要性，並解釋說這些攻擊只能針對有問題的電子郵件客戶端。

關於EFAIL 漏洞的詳細細節，可以查看：https://efail.de/

*參考來源：securityaffairs、bleepingcomputer，由Andy.i編譯，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！