"EFAIL" vulnerabilităţi în OpenPGP şi S/MIME

O serie de vulnerabilități numite EFAIL au fost dezvăluite. Aceasta afectează clienții care folosesc e-mail utilizând criptarea OpenPGP sau S/MIME. Aceste vulnerabilități depind atât de software-ul de criptare /plugin/protocol (OpenPGP sau S/MIME), cât și clientul de e-mail (Thunderbird, Apple Mail, Outlook etc.).

La nivel global, riscul de atacuri este în prezent moderat. Niciun atac nu a fost raportat încă, însă detaliile tehnice disponibile fac posibile acestea atacuri în viitor.

Atacul face posibil decriptarea unui mesaj criptat care a fost furat sau interceptat, prin trimiterea unui e-mail aparent inofensiv unei persoane pentru care mesajul criptat a fost scris. Aceasta constă într-un scenariu pentru atacuri punctuale (care vizează o anumită persoană).

Informații tehnice:
Un scenariu tipic de atac este după cum urmează:
• Înainte de atac, atacatorul trebuie să aibă acces la textul criptat.
• Atacatorul trimite apoi acest text criptat (ascunzându-l într-un e-mail aparent inofensiv) destinatarului legitim.
• Dacă clientul de e-mail al acestui destinatar are o funcție de decriptare automată, acesta va decripta textul criptat.
• Textul decriptat va fi apoi trimis automat înapoi la atacator (faza de exfiltrare), fie datorită unei vulnerabilităţi în configurația clientului de e-mail, fie prin una dintre vulnerabilitățile "EFAIL" din instrumentul de criptare.
Există trei metode diferite de exfiltrare:
• Exfiltrarea directă: clientul de e-mail returnează direct mesajul decriptat atacatorului,
• Atac CBC: utilizează caracteristica CBC a S / MIME,
• Atac de CFB: utilizează caracteristica CFB a OpenPGP.
În prezent nu există un patch pentru aceste vulnerabilități.
Orange Moldova CERT recomandă următoarele:
• Cele mai simple atacuri pot fi oprite prin configurarea clientului de e-mail să nu încarce conținut extern (de exemplu, să nu încarce imagini).
•  Atacul nu este posibil dacă clientul de e-mail nu include o funcție de decriptare automată.
o În cazul PGP, este posibilă dezactivarea acestei funcții (de exemplu, dezactivarea pluginurilor de decriptare) și decriptarea e-mailurilor cu ajutorul unui instrument extern (de exemplu, prin clipboard)
o Pentru S / MIME, nu se cunoaşte cum de dezactivat decriptarea automată.