Šifrujete e-maily pomocí OpenPGP nebo S/MIME? Pozor, experti z Německa a Belgie v nich našli vážnou chybu

Když jsem na extrahardware četl, že se tím dají dešifrovat všechny i staré emaily, docela mě zamrazilo, a začal jsem i dost pochybovat.
Naštěstí na rootu to vysvětlili. A tady taky. Vůbec nejde o chybu v S/MIME nebo PGP, ale v implementaci v konkrétních prohlížečích.Ale elegantní vektor útoku, to se musí nechat. Je to triviální, nenápadné, a překvapivě funkční.

Tak může dešifrovat i staré emaily teoreticky, pokud útočník má zašifrovaný text a dostává i rozšifrovaný, tak může spočítat šifrovací klíč a pak už odemkne cokoliv. Ale obecně, kdo má v mailu povoleno u HTML mailů automatické stahování obrázků, si zaslouží všechno špatné.

Ale no tak... Znalostí cleartextu a encrypted textu nelze získat privátní klíč...

To bych teda netvrdil. Rozhodne to usnadni jeho prolomeni.

Otevřeně přiznávám, že
1. občas si obrázky nechám zobrazit, stejně jako občas šifruji pomocí PGP
2. tenhle útok bych ve zdrojovém kódu nejspíš neobjevil, protože by mě to nenapadlo
3. nemám tušení, jestli bych si v Thunderbirdu nějak všiml, že ten email je podepsaný mým GPG klíčem, a jestli by mi to vůbec bylo divné (taky se to může tvářit třeba jakou bounce)

Ale když to bude šifrované a zároveň podepsané, tak buď bude podpis cizí (u šifrovaného mailu by na to člověk měl dávat pozor), nebo nebude podpis platný a to znamená, že je mail změněný (a zase, u šifrovaného mailu to znamená poplach).
Kromě toho si do Thunderbirdu můžete dát doplněk DKIM verifier, který ukáže, zda je DKIM podpis v pořádku a pokud se liší doména podepisujícího serveru od domény odesílatele, taky to uvidíte. A nesoulad zase znamená, že někdo se zprávou manipuloval.

Jste nepochopil ten exploit. Podpis je v pořádku a platný. Útočník přidá před a za multipart/encrypted (který se nezmění a proto je podpis a šifrování v pořádku) další multipart sekce, kde před šifrovanou sekcí bude začátek značky a v té části za šifrovanou částí bude konec značky. PGP (S/MIME) klient rozšifruje multipart/encrypted, poté spojí všechny tři části a následně vykoná HTML kód, kde součástí té značky bude plaintext ROZŠIFROVANÉHO multipart/encrypted části mailu, takže na cizí server se pošle string ze značky, který obsahuje plaintext šifrovaného mailu.
Více viz na https://efail.de