Европейские исследователи безопасности обнаружили новые уязвимости в протоколах шифрования электронной почты. Хакерская атака, которую провели исследователи, позволяет встраивать в перехваченные электронные письма вредоносный код, обходя протокол шифрования. Вредоносный код позволяет хакерам воровать всю информацию с сообщений, которые находятся в папке «Входящие сообщения».
Уязвимость касается двух наиболее распространенных протоколов шифрования электронных писем PGP и S/MIME. Подверженность уязвимости на прямую зависит от степени реализации защиты с помощью протоколов. Теперь многие почтовые ящики уязвимы, включая Apple Mail, приложение Mail для iOS и Mozilla Thunderbird. Примечательно, что многие системы аутентификации сообщений могут эффективно блокировать атаку.
Читайте также: Слухи о новых Huawei Watch 2 (2018)
Если зашифрованное письмо перехватить во время отправки, злоумышленник сможет использовать уязвимость электронной почты и добавить в письмо вредоносный код HTML. Когда жертва откроет письмо, вредоносный код может быть использован для обратной отправки текста письма.
Читайте также: Lenovo обещает первый по-настоящему безрамочный смартфон?
Сейчас многие корпоративные серверы используют шифрование S/MIME, поэтому уязвимость предоставляет большую опасность для поставщиков @mail услуг.
In practical terms, however, the lesson is this: there is no such thing as a ‘theoretical vulnerability’. There are exploitable vulnerabilities, and vulnerabilities that haven’t been exploited yet. We need to build systems like we recognize this. 16/16
— Matthew Green (@matthew_d_green) May 14, 2018
Себастьян Шинцель, профессор Мюнстерского университета прикладных наук, описал проблему в Твиттер и предупредил, что «в настоящее время нет способов исправления данной уязвимости». Профессор рекомендует отключить поставщикам услуг шифрование данных с помощью PGP, S/MIME и использовать другие. Фонд Электронных Рубежей называет способ профессора «временной, консервативной мерой» пока исследователи не смогут найти способ исправить уязвимость.
Источник: theverge.com