Bezpečnost | Malware | E-mail

Šifrujete e-maily pomocí OpenPGP nebo S/MIME? Pozor, experti z Německa a Belgie v nich našli vážnou chybu

Používáte technologii pro end-to-end šifrování e-mailů OpenPGP nebo S/MIME? Tak to pozor, experti z německého Münsteru, Biochumu a belgického Leuvenu totiž publikovali studii (PDF) o nové zranitelnosti, které dali jméno EFAIL.

Princip je relativně jednoduchý. Pokud se útočník nějakým způsobem dostane k zašifrovanému textu e-mailu (odposlechem na síti, průnikem do PC apod.), dokáže získat jeho rozšifrovanou podobu a to aniž by znal klíč.

Klepněte pro větší obrázekKlepněte pro větší obrázek
Útočník nejprve získá zašifrované verze e-mailů a znovu je pošle oběti. Tentokrát jsou však trošku pozměněné a sám poštovní klient při zpracovávání předá útočníkovi dešifrovanou podobu.

Stačí, když takto zašifrovaný e-mail v upravené podobě odešle zpět oběti, jejíž poštovní klient zprávu dešifruje a text sám předá útočníkovi. Jak? E-mail totiž bude rozdělený do několika částí formátu multipart.

Na začátku bude HTML kód s obrázkem, přičemž v jeho parametru SRC začne šifrovaná část. Vše opět uzavře HTML kód, který ukončí značku IMG pro obrázek. Poštovní klient s šifrovacím doplňkem tedy nejprve dešifruje zprávu a pak ji vloží jako URL obrázku v oné HTML části. Na závěr konečně vykreslí HTML kód a tím dojde k odeslání dešifrované čísti na server útočníka, protože se zpracuje značka obrázku.

Klepněte pro větší obrázek
Zdrojový kód zákeřného e-mailu, který se skládá z několika částí. Vnějšího HTML a původní zašifrované části. Pošťák tuto část dešifruje a díky značce IMG a jejímu parametru SRC předá útočníkovi.

Experti radí, aby uživatelé, kteří používají šifrování PGP a S/MIME přímo v poštovním klientu, do vyřešení problému dešifrovali e-maily v externí aplikaci, případně zablokovali vykreslování HTML v poštovním klientu.

Klepněte pro větší obrázek
Klepněte pro větší obrázek
Dešifrovaný text se vloží do parametru SRC a při zpracovávání HTML se jako požadavek HTTP GET dostane na server záškodníka

Technika zneužívání načítání vzdálených obrázků nicméně není nikterak nová a jedná se o jednu z cest, jak do počítače oběti dostat malware (namísto regulérního obrázku se stáhne a načte virus). Proto mnohé klienty ve výchozím stavu obrázky nenačítají a vyžadují explicitní povolení uživatele.

Diskuze (10) Další článek: Apple se snaží o rychlý přechod na nový typ výroby hliníku, při které nevznikají skleníkové plyny

Témata článku: Bezpečnost, Německo, Malware, E-mail, Šifrování, PDF, Belgie, Vyřešení problému, Výchozí stav, SRC, Vážná chyba, HTML, Parametr, Explicitní povolení, Poštovní klient, Leuven, Zdrojový kód, HTML kód, Odeslání, HTTP Get, Expert, Upravená podoba, Obrázek, Zneužívání, Externí aplikace



Sex manželských párů? Jen výjimečně. Ložnice ovládnou roboti s umělou inteligencí

Sex manželských párů? Jen výjimečně. Ložnice ovládnou roboti s umělou inteligencí

** Sex manželských párů jen při zvláštních příležitostech. ** Ložnice ovládnou sexuální roboti s umělou inteligencí. ** I to je jeden ze závěrů Mezinárodní robotické konference.

Filip KůželJiří Liebreich
RobotiSexUmělá inteligence
Proč si předplatit Amazon Prime? Třeba kvůli těmto filmům. Čelisti, Tenkrát v Americe, Pán prstenů…

Proč si předplatit Amazon Prime? Třeba kvůli těmto filmům. Čelisti, Tenkrát v Americe, Pán prstenů…

Amazon Prime si pečlivě vybírá vlastní tvorbu a jak ta filmová, tak i seriálová patří k těm kvalitnějším. Nechybí však ani známé kultovní hity.

Jaromír Puk
Proč si předplatit?
Srovnávací test výdrže baterie 120Hz telefonů. Jasné vítězství iPhonu, první se vypl Samsung s největší baterií

Srovnávací test výdrže baterie 120Hz telefonů. Jasné vítězství iPhonu, první se vypl Samsung s největší baterií

** Malá baterie Flipu a velký displej Foldu jsou velké nevýhody ** Naproti jim však jde energeticky efektivnější čipset od Qualcommu ** Obě nové skládačky tak v testu výdrže příjemně překvapily

Martin Chroust
VýdržSrovnání
Nastal pravý čas na výměnu telefonu. Jak poznat, že ten váš už dosluhuje?

Nastal pravý čas na výměnu telefonu. Jak poznat, že ten váš už dosluhuje?

** Jak poznat, že váš telefon má nejlepší dny za sebou? ** Vypadá potlučeně, má pavučinu nebo nedostává aktualizace? ** Ukážeme si, kdy má smysl jeho oprava, a kdy už jen koupě nového

Martin Chroust
Prasklý displejVysloužilý mobilSmartphony
Jak poznat, že máte možná hacknutý telefon? Toto je devět symptomů, které můžete pozorovat

Jak poznat, že máte možná hacknutý telefon? Toto je devět symptomů, které můžete pozorovat

** Jak poznat, že je váš smartphone hacknutý? ** Hledejte známky po nestandardním chování telefonu ** Stačí když telefon vydrží méně nebo topí i v klidovém režimu...

Martin Chroust
Jak...Malware
Americká DARPA vyvíjí těžký ekranoplán Liberty Lifter. Je to něco mezi letadlem, vznášedlem a lodí

Americká DARPA vyvíjí těžký ekranoplán Liberty Lifter. Je to něco mezi letadlem, vznášedlem a lodí

** Koncept tzv. ekroplánů nebyl považován za příliš životaschopný ** Americká DARPA se ho však rozhodla oživit ** ** Pracuje na ekranoplánu pro transport velmi velkých a těžkých nákladů na velké vzdálenosti, bez využití letištních drah

Stanislav Mihulka
DARPAVojenstvíDoprava
Kurvítka v základní výbavě, výrobci mají umělé zastarávání v malíku. Začalo to bateriemi, pokračuje softwarem

Kurvítka v základní výbavě, výrobci mají umělé zastarávání v malíku. Začalo to bateriemi, pokračuje softwarem

** Nejen mobilní výrobci jsou naučeni rok od roku prodávat stále více telefonů ** Tento trend se však zákonitě musí někdy zastavit ** Jenže, co naplat, když jsou starší zařízení „uměle“ nepoužitelná?

Martin Chroust
Prasklý displejBaterieAktualizace softwaru