Šifrované zprávy zasílané e-mailem již nejsou bezpečné. Němečtí a belgičtí experti našli způsob, jak překonat dvě rozšířené formy šifrování e-mailů. Vědci z univerzit v Muensteru a Bochumi v Německu a Leuvenu v Belgii byli schopni donutit počítač, aby jim přeposílal rozšifrované zprávy, které byly zašifrovány metodou PGP nebo S/Mime.
We'll publish critical vulnerabilities in PGP/GPG and S/MIME email encryption on 2018-05-15 07:00 UTC. They might reveal the plaintext of encrypted emails, including encrypted emails sent in the past. #efail 1/4
„Zranitelnost postihuje e-mailové klienty využívající šifrování pomocí PGP či S/MIME. Nyní je doporučováno vypnout v e-mailovém klientu aktivní obsah a stahování vzdáleného obsahu. Stejně tak jsou uživatelé nabádáni, aby si v nadcházejících dnech zkontrolovali aktuálnost verze jak svého prohlížeče, tak i jeho rozšíření (např. Enigmail),“ varuje i český Národní bezpečnostní tým CSIRT.
Chyba označovaná jako EFAIL je zneužitelná ve všech populárních e-mailových programech, jako jsou Microsoft Outlook, Apple Mail, Mozilla Thuderbird a další.
„Pokud používáte PGP/GPG nebo S/MIME pro velmi citlivou komunikaci, měli byste ji nyní zakázat v e-mailovém klientovi,“ radí na svých stránkách nadace Electronic Frontier Foundation a přidává i návod pro jednotlivé poštovní klienty.
Kdokoli může podvrhnout e-mailE-mail rozhodně nepatří mezi nejbezpečnější prostředky komunikace. Ještě nedávno bylo například možné podvrhnout jakýkoli e-mail odesílatele (ukázka zde). |
Aby útočník mohl zranitelnost zneužít, musel by mít přístup k poštovnímu serveru nebo poštovní schránce příjemce. Kromě toho musí být e-maily ve formátu HTML a aktivní odkazy vedoucí k externímu obsahu. Doporučuje se proto uživatelům zakázat používání aktivního obsahu, například kód HTM, dále načítání externího obsahu, a zabezpečit jejich e-mailové servery proti externímu přístupu.
Pokud se nemůžete nebo nechcete šifrovaných e-mailů vzdát, můžete jednoduše k šifrování a dešifrování použít externí aplikaci.
