Los usuarios de correo electrónico que usan PGP (basado en OpenPGP) y S / MIME para cifrar y descifrar sus comunicaciones están en "riesgo inmediato". La razón es que un equipo de investigadores europeos ha encontrado fallas críticas en los estándares de cifrado y actualmente no hay soluciones disponible.
Las vulnerabilidades denominadas EFAIL son dañinas, ya que pueden revelar el contenido de los mensajes en texto sin formato, incluso para los mensajes del pasado.
Si un atacante obtiene acceso a los correos electrónicos cifrados de la víctima a través de métodos como interceptar o comprometer cuentas de correo electrónico, EFAIL puede utilizarse para "abusar del contenido activo de correos electrónicos HTML, por ejemplo, imágenes o estilos cargados externamente para extraer texto sin formato a través de URL", dice el sitio web detallando las vulnerabilidades.
Un correo electrónico cifrado modificado enviado por el atacante a la víctima es descifrado por su cliente de correo electrónico. Mientras lo hace, el cliente carga cualquier contenido externo, por lo tanto, exfiltra el texto plano al atacante.
El cifrado PGP es utilizado principalmente por activistas políticos, periodistas y denunciantes como una capa adicional de encriptación. Por otro lado, S / MIME se usa principalmente en infraestructura empresarial.
Por qué esto se debe tomar en serio es porque Electronic Frontier Foundation (EFF) también está difundiendo la palabra. La Fundación, que ha estado en comunicación con los investigadores, ha aconsejado a los usuarios que "dejen de enviar y, especialmente, que lean un correo electrónico cifrado con PGP".Deshabilitar ahora
Los usuarios deben desactivar o eliminar inmediatamente cualquier herramienta que descifre automáticamente los correos electrónicos cifrados con PGP hasta que los defectos sean comprendidos y corregidos, dijo EFF. Han publicado guías para Thunderbird, Apple Mail y Outlook.
Una solución más permanente requiere cambios en los estándares OpenPGP y S / MIME y no sucederá de la noche a la mañana. Mientras tanto, se espera que algunos proveedores publiquen parches para mitigar los ataques EFAIL.
Las vulnerabilidades denominadas EFAIL son dañinas, ya que pueden revelar el contenido de los mensajes en texto sin formato, incluso para los mensajes del pasado.
Si un atacante obtiene acceso a los correos electrónicos cifrados de la víctima a través de métodos como interceptar o comprometer cuentas de correo electrónico, EFAIL puede utilizarse para "abusar del contenido activo de correos electrónicos HTML, por ejemplo, imágenes o estilos cargados externamente para extraer texto sin formato a través de URL", dice el sitio web detallando las vulnerabilidades.
Un correo electrónico cifrado modificado enviado por el atacante a la víctima es descifrado por su cliente de correo electrónico. Mientras lo hace, el cliente carga cualquier contenido externo, por lo tanto, exfiltra el texto plano al atacante.
El cifrado PGP es utilizado principalmente por activistas políticos, periodistas y denunciantes como una capa adicional de encriptación. Por otro lado, S / MIME se usa principalmente en infraestructura empresarial.
Por qué esto se debe tomar en serio es porque Electronic Frontier Foundation (EFF) también está difundiendo la palabra. La Fundación, que ha estado en comunicación con los investigadores, ha aconsejado a los usuarios que "dejen de enviar y, especialmente, que lean un correo electrónico cifrado con PGP".Deshabilitar ahora
Los usuarios deben desactivar o eliminar inmediatamente cualquier herramienta que descifre automáticamente los correos electrónicos cifrados con PGP hasta que los defectos sean comprendidos y corregidos, dijo EFF. Han publicado guías para Thunderbird, Apple Mail y Outlook.
Una solución más permanente requiere cambios en los estándares OpenPGP y S / MIME y no sucederá de la noche a la mañana. Mientras tanto, se espera que algunos proveedores publiquen parches para mitigar los ataques EFAIL.
0 Comentarios