暗号化メールを平文で読まれる恐れ、「PGP」「S/MIME」に脆弱性

電子メールの暗号化に広く使われている規格に、暗号化されたメッセージを攻撃者が平文で入手できてしまう脆弱性が報告された。特にApple Mail、iOS Mail、Mozilla Thunderbirdなどのメールクライアントが危険だという。 電子メールの暗号化に広く使われている「PGP」「S/MIME」の両規格に、暗号化されたメッセージを攻撃者が平文で入手できてしまう脆弱性が報告された。米電子フロンティア財団は当面の対策として、電子メールクライアントのPGPを無効にし、別の手段に切り替えるよう勧告している。 脆弱性はドイツのミュンスター応用科学大学などの研究チームが発見し、「EFAIL」と命名。2018年5月13日から14日にかけて技術論文などを公開した。 電子フロンティア財団の発表やEFAIL解説サイトによると、EFAIL攻撃ではHTMLメールなどのコンテンツを悪用する手口で平文が抽出さ

[tmtms]

「うちはPGPやS/MIMEを使わず最初から平文だし、添付ファイルはZIP暗号化してパスワードを平文で別送だから安心だな」

[thentan]

PGPに脆弱性があるようなタイトルの書き方よくないですよね、PGPの扱いに問題のあるメールクライアントに脆弱性があるのでは。

[naglfar]

メールクライアントの HTML 処理機能を使った方法か。やはり、メーラで HTML なんて扱うもんじゃないな。

[lovevoiceryu]

いろいろな意味でHTMLメールなんて使うもんじゃない。

[Lat]

Appleの標準メーラーは、画像ファイルを添付するだけで勝手にHTML形式になるからホント辞めてくれないかな。マジで。

[n_231]

クライアントに解読させてから読むのか。面白いな ／ “「EFAIL」と命名” 誰うま

[mrmt]

タイトルがおかしい。PGPやS/MIMEの脆弱性ではないよね。

[deep_one]

HTMLメールに仕込んだスクリプトから呼び出せるプラグインがアウトだ、って事かな。HTMLメールの表示を禁止するとよいらしいし。

[daybeforeyesterday]

滅入る

[junpeso]

もうメール辞めろ

[meeyar]

本文添付ファイルは暗号化なしで、単に電子署名付のメール(JPCERT/CC→https://www.jpcert.or.jp/announce.htmlのような)でも駄目なのかな。「メッセージの復号を電子メールクライアントで行わず」って、署名の検証もアウトなのかな

[iekusup]

ほー。

[NetPenguin]

え？まじ？

[Palantir]

ぴゅあがーるずだー！！！

[hiromichinomata]

“中でもApple Mail、iOS Mail、Mozilla Thunderbirdでは、暗号化されたメールの平文を直接的に抽出される恐れがあり、特に危険が大きいとしている。” 結構凶悪。まあほとんどのメールはそもそも平文でしょうが

[ssids]

暗号文をmultipartにしてIMGタグで挟むと対象のメーラがURLの形で任意のサーバに送ってしまう、という話に加えて、CBCはある点の平文暗号文のセットがあれば任意の文字を暗号文に挿入できるので、それにIMGタグを埋め込める

[Cujo]

あんごうかめーるをつかわなければよい(

[akibare]

問題ではあるけど簡単なアッタクではないな・・。メールを入手して細工して再送信してまた開いてくれるのを待たないといけない。暗号自体に問題がったのかと思ったら違ったのでちょっとがっかり。

[IGA-OS]

やっぱりHTMLメールは使わない方向ですかね。

[momontyo]

盗聴し放題な状態だと、自動的な暗号化、復号によってなんか分かっちゃうのかな？

[MagnesiumRibbon]

これをPGPに脆弱性と書いていいのか…

[love0hate]

ほえー

[kuippa]

メールクライアント使わずにPGPつかえばいいじゃない

[dorje2009]

実際のリスクはそんなに高くないように読めた

[karkwind]

やっとニュースになったか

[jt_noSke]

滅入る

[stealthinu]

PGPやS/MIMEのように本文自体を暗号化するタイプの暗号化メールに対し、暗号化メールを手に入れられればHTMLメール使って穴を突くことで中身を読まれてしまうらしい。

[kiria25]

“中でもApple Mail、iOS Mail、Mozilla Thunderbirdでは、暗号化されたメールの平文を直接的に抽出される恐れがあり、特に危険が大きいとしている。”

[takehikom]

『EFAIL攻撃ではHTMLメールなどのコンテンツを悪用する手口で平文が抽出される恐れがある』