E-mail-krypteringsstandarder hacket

Et forskerhold fra University of Applied Sciences (FH) i Münster, Horst Görtz Institut for IT-sikkerhed ved Ruhr-Universität Bochum (RUB), og Katholieke Universiteit Leuven har vist, at de to mest almindelige e -mail -krypteringsstandarder er sårbare over for angreb. Deres angreb, kaldet Efail, vist sig succesfuld i 25 ud af 35 testede e -mail -programmer ved hjælp af S/MIME -krypteringsstandarden og i 10 ud af 28 testede programmer ved hjælp af OpenPGP. Programudviklerne er blevet informeret og har rettet sikkerhedshullerne. Eksperterne anbefaler indtrængende at opdatere de underliggende kryptografiske algoritmer for at modstå eventuelle potentielle angreb i fremtiden.

Detaljerede oplysninger om deres angreb er blevet offentliggjort på deres websted efail.de.

Realistisk angrebsscenario

E -mails er krypteret for at skjule deres indhold for netværksudbydere, cyberkriminelle, og efterretningstjenester, der kan få adgang til dem via hackede routere, en e -mail -server, eller ved at optage en besked under transmissionen. "I kølvandet på Snowdens whistleblowing og utallige hackede e -mailservere, dette er i høj grad et realistisk scenarie, " understreger professor Dr. Sebastian Schinzel fra Institut for Elektroteknik og Datalogi ved FH Münster.

Den opsnappede besked manipuleres af angriberen, da han tilføjer sine egne ondsindede kommandoer i krypteret form. Således ændret, beskeden sendes til en af ​​modtagerne eller til afsenderen, dvs. hvor dataene er gemt, som er nødvendige for at dechifrere dem.

Efter at meddelelsen er blevet dechiffreret, de indsatte kommandoer får offerets e -mail -program til at etablere en kommunikationsforbindelse med angriberen næste gang e -mailen åbnes. Denne form for kommunikation er stort set standard, når for eksempel, billeder eller designelementer i e -mails indlæses. Via den forbindelse den afkodede e-mail sendes derefter til angriberen, som kan læse dem. Forskerne kaldte denne nye angrebsmetode "Eksfiltrering med formbarhedsudstyr".

Enterprise, journalist, whistleblower

E-mail-krypteringsstandarderne S/MIME – forkortelse for Secure/Multipurpose Internet Mail Extensions – og OpenPGP har været i brug siden 1990'erne. S/MIME implementeres ofte af virksomheder, der krypterer alle udgående og dekrypterer alle indgående e-mails. OpenPGP bruges fortrinsvis af enkeltpersoner, for eksempel, af journalister i konfliktområder eller af whistleblowere som Edward Snowden.

Den underliggende kryptografi er ikke blevet opdateret siden 1990'erne, selvom der længe har været bedre teknikker. "Denne type kryptografi er brudt mere end én gang i andre internetstandarder, f.eks. i TLS, kort for Transport Layer Security, en protokol til kryptering af online datatransmission. Vi har nu demonstreret for første gang, at det også er sårbart, hvad angår e -mail -kryptering, " forklarer prof Dr. Jörg Schwenk fra lederen for netværks- og datasikkerhed på RUB.

I sin nuværende version, S/MIME er ikke egnet til sikker kommunikation

I tilfælde af S/MIME, det vellykkede angreb har vist, at den nuværende standard ikke er egnet til sikker kommunikation. "OpenPGP kan konfigureres og bruges sikkert; dog, dette er ofte ikke tilfældet, som vi viste i vores praktiske analyser og bør derfor betragtes som usikkert, " siger Jörg Schwenk.

Nu, Internet Engineering Task Force, en udvikleruafhængig international organisation, opfordres til at levere en ny standard, ifølge forskerne. Efter deres vellykkede angreb, forskergruppen har informeret udviklerne om alle testede e -mail -programmer om sikkerhedsgabet, der er identificeret af dem. Der er truffet foranstaltninger for at lukke den, for at minimere risikoen for et vellykket ægte angreb.