行业新闻与博客

今天，来自德国和比利时的一组安全研究人员发布了一个影响两个电子邮件加密系统的漏洞：S / MIME 和 OpenPGP。被称为“ EFAIL ”的漏洞已经获得了显着的新闻报道，我们希望为使用 S / MIME 电子邮件证书和其他安全电子邮件用户的 DigiCert 客户提供摘要和指导。

这项研究围绕漏洞的真正原因以及系统的安全设计提出了一些有趣的讨论，但我们知道客户的首要任务是尽快降低系统风险。我们将介绍风险是什么以及应采取哪些措施来保护您的组织，然后讨论有关 S / MIME 协议的更多信息。

了解 EFAIL 攻击

EFAIL 攻击会影响使用 S / MIME（或 PGP，包括 OpenPGP 和 GPG）协议加密的电子邮件。成功执行后，攻击者可以读取目标电子邮件，而无需获取用于加密它们的私钥。

这种攻击的最简单形式使用了一种新颖的技巧 - 它将恶意 HTML 标签附加到加密电子邮件中，并希望电子邮件客户端不安全地解析该 HTML。一旦收件人的电子邮件客户端解密电子邮件，处理注入的 HTML 标记，然后将现在为纯文本的电子邮件泄露到攻击者指定的 URL，就会执行攻击。

但是，这要求攻击者可以拦截和修改电子邮件。这至少需要以下之一：

1. 受感染的电子邮件服务器。
2. 您的电子邮件使用 S / MIME 证书加密，但通过纯文本连接（HTTP）发送。

请注意，即使您的电子邮件服务器使用 HTTPS 保护，收件人电子邮件服务器也可能不是。但是，即使遇到这种情况，它仍然要求攻击在网络上具有特权位置，例如连接到本地网络的人，或者控制互联网基础设施的 ISP / 政府。

对于攻击者而言，这些条件都不是微不足道的。如果您在网络上使用最佳实践安全性，则您应该已经拥有通过 HTTPS 保护的电子邮件服务器，这可以减轻一个攻击媒介。如果您未使用受 HTTPS 保护的电子邮件服务器（或不确定），则应立即通过获取 SSL 证书来执行此操作。

存储在您的电子邮件客户端或服务器中的电子邮件存在风险，如果它们受到损害。

请注意，已发布的研究中详细说明了 EFAIL 攻击的其他变体。这些变化要求攻击者在能够读取加密消息之前知道加密消息的一些数据 - 在加密字段中这被称为“已知密文”攻击 - 并且执行起来要困难得多。但是，在最高风险的场景和设置中，完全免受 EFAIL 保护的唯一方法（包括这些不太可能的变体）是完全禁用电子邮件客户端 / 服务器中的 S / MIME 电子邮件解密（并使用单独的应用程序）完全解密和阅读它们）。

此漏洞并不会影响私钥。相反，它利用电子邮件客户端解析电子邮件的方式中的缺陷来检索已经解密的电子邮件。您无需重新颁发 S / MIME 证书或私钥即可保护自己免受此漏洞的侵害。

减轻威胁

只要攻击者能够修改所需的电子邮件，就可以执行此攻击。因此，有两种类型的缓解措施需要考虑：保护个人用户及其电子邮件帐户 / 客户端，以及保护电子邮件服务器。

在客户端，Outlook 2013 和 2016 中的默认安全设置可防止执行此攻击，除非其中一个收件人选择通过 Outlook 提供的对话框选项允许外部映像。这可以防止自动利用攻击，但许多用户可能会意外或习惯性地启用此选项。

在 Outlook 2007 和 2010 中，默认情况下允许外部映像，并且可以在打开电子邮件后立即自动利用此攻击。对于这些电子邮件客户端以及所有电子邮件客户端，您可以通过完全禁用 HTML 电子邮件来阻止最常见的 EFAIL 攻击形式。

Apple Mail 和 iOS Mail 应用程序也容易受到此攻击的自动利用，并且应禁用 HTML 电子邮件。

我们再次要注意，执行此攻击需要攻击者能够拦截和修改电子邮件，这不是一个微不足道的先决条件。

请注意，由于电子邮件的性质，如果发件人和该电子邮件的每个收件人都已应用这些缓解措施，您只能保证特定电子邮件的安全性 - 这一原则通常适用于电子邮件安全，而不仅仅是针对此特定漏洞。

非常感谢您对亚洲注册的支持与信任！

禁止转载