Обнаруженный дефект позволяет обходить защиту PGP в почтовых клиентах

Исследователи компьютерной безопасности предупредили о найденном ими серьёзном недочёте в том, как некоторые почтовые программы используют популярную технологию шифрования, защищающую содержимое электронных писем от посторонних глаз.

Как сообщила в понедельник команда европейских экспертов, этот дефект, известный под именем Efail, представляет опасность для таких приложений как Mozilla Thunderbird, Apple Mail и некоторые версии Outlook, использующих стандарт шифрования Pretty Good Privacy (PGP) и S/MIME — аналогичный протокол для бизнеса.

«Злоумышленник может изменить зашифрованное электронное письмо, и когда человек, которому оно предназначено, откроет его или отобразит в окне предварительного просмотра, почтовая программа отправит содержимое на заданный хакером удаленный сервер», — разъясняет Мэтт Грин (Matt Green), специалист по криптографии и доцент Университета Джона Хопкинса.

Группа Electronic Frontier Foundation (EFF) призвала отключить любые сторонние плагины, позволяющее указанным уязвимым почтовым клиентам использовать PGP или S/MIME. Она также рекомендует перейти на альтернативные сервисы комплексной защиты, такте как Signal, и временно воздержаться от отсылки и, особенно, от чтения почты, зашифрованной PGP.

Apple вчера заявила, что работает над устранением проблемы и вскоре выпустит необходимые обновления. По информации представителя Thunderbird Council, патч для почтового приложения Thunderbird уже создан и будет разослан как апдейт ближе к концу недели.

Вернер Кох (Werner Koch) главный автор криптографического ПО GNU Privacy Guard, считает шумиху вокруг Efail чрезмерной. По его словам, такие атаки можно эффективно блокировать, отказавшись от использования HTML-почты либо применив шифрование с аутентификацией, добавляющее слой защиты, удостоверяющий, что письмо не было изменено.

Глава защищённого почтового сервиса ProtonMail Энди Йен (Andy Yen), также критикует сенсационный способ подачи проблемы экспертами и EFF: «Из 10 лучших клиентов, большинство уже давно исправили её. Единственная заслуга исследователей — составление списка тех клиентов, которые этого не сделали должным образом».

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365