Abo
  • IT-Karriere:

Verschlüsselung: Audit findet schwerwiegende Sicherheitslücken in Enigmail

Mozillas Secure Open Source Fund und der Berliner E-Mail-Anbieter Posteo haben einen Security-Audit für Thunderbird und die Erweiterung Enigmail in Auftrag gegeben. Dabei sind einige kritische und schwerwiegende Lücken gefunden worden.

Artikel veröffentlicht am , Kristian Kißling/Linux Magazin
Die Enigma ist Namenspate für Enigmail.
Die Enigma ist Namenspate für Enigmail. (Bild: Antoine Taveneaux, Wikimedia/CC-BY-SA 3.0)

Seit rund zweit Jahren gibt es das Projekt Mozilla Open Source Support (MOSS), mit dem die gemeinnützige Stiftung freie Software finanziell unterstützen will. Ein wichtiger Teil davon ist das Programm Secure Open Source (SOS), bei dem die Sicherheit wichtiger Projekte überprüft werden soll. Wie bereits zuvor hat Mozilla einen dieser Aufträge an das Berliner Pentest-Unternehmen Cure53 vergeben, das sich nun den E-Mail-Client Thunderbird und das Verschlüsselungsplugin Enigmail näher angesehen und dabei teils schwerwiegende Fehler gefunden hat.

Stellenmarkt
  1. terranets bw GmbH, Lindorf bei Wendlingen/Kirchheim
  2. Deutsche Rentenversicherung Nord Ost West Informationstechnik GmbH, Düsseldorf

Ein erster Bericht der Untersuchung (PDF) erteilt über einige, aber nicht alle der gefundenen Lücken in Enigmail Auskunft. Darunter befindet sich etwa die TBE-01-002 getaufte Lücke, die es ermöglicht, einen Fehler im E-Mail-Parser funcs.jsm von Enigmail auszunutzen. Der soll eigentlich E-Mail-Adressen extrahieren, ist aber bei mehreren kommaseparierten Adressen über einen regulären Ausdruck angreifbar. Kommunizieren nun die in Kryptoerklärungen notorischen Bob und Alice miteinander, kann ein Angreifer Alice vortäuschen, er sei Bob und ihr einen falschen und vom Angreifer kontrollieren Schlüssel unterschieben.

Die Lücke TBE-01-005 ermöglicht es einem Angreifer, verschlüsselte Inhalte in Plaintext zu sehen. Dazu muss er Bobs verschlüsselten Text an Alice abfangen. Dann beginnt er selbst eine Konversation mit Alice und bettet irgendwann in deren Verlauf den verschlüsselten Datenblock unauffällig in den Körper der unverschlüsselten E-Mail ein. Antwortet Alice nun direkt auf die E-Mails von Bob, ohne die Originalnachricht zu löschen, erscheint der Ursprungstext von Bob an Alice unverschlüsselt. Das ist möglich, weil Enigmail teilweise verschlüsselte E-Mail-Bodys erlaubt, in denen nur ein Teil der Nachricht verschlüsselt ist.

TBE-01-021 ist eine weitere kritische Lücke. Dabei fälscht der Angreifer die Absenderadresse seiner E-Mail, so dass Alice glaubt, sie komme von Bob. Zugleich hat er im Vorfeld eine signierte E-Mail von Bob gespeichert und hängt diese nun als Attachment an die E-Mail mit dem Fake-Absender. Da Enigmail die Mail in diesem Fall nicht neu signiert, erscheint sie bei Alice als signierte E-Mail von Bob.

Enigmail wird noch gebraucht

In dem PDF finden sich noch weitere Hinweise auf potenzielle Schwachstellen, die Angreifern das Leben leichter machen. So nutzt Enigmails PEP-Implementierung (Pretty Easy Privacy) einen unsicheren Zufallszahlengenerator, der Javascript-Funktion math.random(). Auch lassen sich weitere reguläre Ausdrücke für potenzielle DoS-Angriffe ausnutzen.

Der Bericht von Cure53 benennt vor allem die gefundenen Lücken in Enigmail. Die Thunderbird-Fehler sind demnach noch nicht alle behoben, eine vollständige Auswertung soll nach Abschluss der Reparaturarbeiten erscheinen. Beim Schließen der vorhandenen Lücken hat neben Mozilla auch der E-Mail-Anbieter Posteo als zweiter Auftraggeber mitgewirkt. Enigmail soll künftig das von Posteo unterstützte Autocrypt-Verfahren implementieren, das E-Mail-Verschlüsselung einfacher machen soll.



Anzeige
Top-Angebote
  1. 799,90€
  2. (u. a. Guild Wars 2 - Path of Fire 15,99€, PUBG Survivor Pass 3 6,99€, Die Sims 4 10,99€)
  3. (aktuell u. a. NZXT H500 Overwatch Special Edition Gehhäuse 129,90€, NZXT RGB Kit 79,90€)
  4. (Monitore ab 147,99€ und Laptops ab 279,00€)

Schreibmaschine 05. Feb 2019

Die Enigma war nicht kriegsentscheidend. Das Brechen der Enigma hat vor allem den U...

Schreibmaschine 05. Feb 2019

Dito. Und jetzt sollten mal gaaaaaanz viele Thunderbirdfreunde oder FOSS Freunde zu...


Folgen Sie uns
       


The Division 2 - Test

The Division 2 ist ein spektakuläres Spiel - und um einiges besser als der Vorgänger.

The Division 2 - Test Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck

  1. Urheberrecht Axel-Springer-Verlag klagt erneut gegen Adblocker
  2. Whitelisting erlaubt Kartellamt hält Adblocker-Nutzung für "nachvollziehbar"
  3. Firefox Klar Mozilla testet offenbar Adblocker

Urheberrechtsreform: Was das Internet nicht vergessen sollte
Urheberrechtsreform
Was das Internet nicht vergessen sollte

Die Reform des europäischen Urheberrechts ist eine Niederlage für viele Netzaktivisten. Zwar sind die Folgen der Richtlinie derzeit kaum absehbar. Doch es sollten die richtigen Lehren aus der jahrelangen Debatte mit den Internetgegnern gezogen werden.
Eine Analyse von Friedhelm Greis

  1. Leistungsschutzrecht VG Media will Milliarden von Google
  2. Urheberrecht Uploadfilter und Leistungsschutzrecht endgültig beschlossen
  3. Urheberrecht Merkel bekräftigt Zustimmung zu Uploadfiltern

Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
Fitbit Versa Lite im Test
Eher smartes als sportliches Wearable

Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
Von Peter Steinlechner

  1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
  2. Inspire Fitbits neues Wearable gibt es nicht im Handel
  3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

    •  /