Kelemahan rendering HTML yang ditemukan di Apple Mail untuk iOS dan macOS dirinci pagi ini, memungkinkan penyerang yang tidak bermoral mendapatkan teks polos yang didekripsi dari email terenkripsi Anda.
Profesor keamanan komputer Sebastian Schinzel kemarin menerbitkan makalah penelitian tentang kerentanan ini yang dijuluki EFAIL.
Tentang apa kerentanan ini?
Singkatnya, kerentanan ini memungkinkan penyerang untuk mengungkapkan plaintext dari email terenkripsi seseorang tanpa memerlukan kunci enkripsi pribadi pengirim, termasuk email terenkripsi yang dikirim di masa lalu. Agar serangan berhasil, pihak jahat harus memiliki email S / MIME atau PGP terenkripsi Anda.
Ini melibatkan penggunaan tag gambar yang dibuat khusus bersama dengan serangkaian teks terenkripsi. Kombinasi ini menyebabkan Apple Mail untuk iOS dan macOS mendekripsi konten pesan terenkripsi. Membuka email terenkripsi meminta klien untuk memuat gambar yang ditentukan dari domain yang dikontrol oleh penyerang, yang memungkinkan mereka memperoleh salinan pesan yang didekripsi..
Masalah ini juga memengaruhi pengguna klien email Mozilla's Thunderbird.
Seberapa serius itu??
Benjamin Mayo membahas potensi konsekuensi dari cacat ini:
Serangan bergantung pada menghubungi orang yang sama yang mengirim email terenkripsi di tempat pertama. Tidak mungkin mengirim email kepada seseorang secara tiba-tiba dan memiliki server yang menerima aliran konten yang didekripsi. Potensi komunikasi yang terganggu meningkat jika email tersebut merupakan bagian dari percakapan grup karena penyerang hanya perlu menargetkan satu orang dalam rantai untuk melakukan dekripsi..
Selain masalah rendering HTML, para peneliti juga memposting eksploitasi yang lebih teknis dari spesifikasi standar S / MIME itu sendiri yang mempengaruhi dua puluh sesuatu klien selain Apple. Jangka panjang, menambal kerentanan ini secara komprehensif akan membutuhkan pembaruan untuk standar enkripsi email yang mendasarinya.
The Electronic Frontier Foundation menimbang, mengatakan:
EFF telah berkomunikasi dengan tim peneliti, dan dapat mengonfirmasi bahwa kerentanan ini menimbulkan risiko langsung bagi mereka yang menggunakan alat ini untuk komunikasi email, termasuk potensi paparan konten pesan sebelumnya..
Bug ini hanya memengaruhi orang yang menggunakan perangkat lunak enkripsi email PGP / GPG dan S / MIME yang membuat pesan tidak dapat dibaca tanpa kunci enkripsi. Pengguna bisnis sering mengandalkan enkripsi untuk mencegah penyadapan dalam komunikasi email mereka.
Namun, sebagian besar email tidak terenkripsi.
Bagaimana Anda bisa melindungi diri sendiri
Perbaikan sementara: hapus plugin enkripsi GPGTools / GPGMail dari Apple Mail on macOS (buang GPGMail.mailbundle dari / Perpustakaan / Surat / Kumpulan atau ~ / Perpustakaan / Surat / Kumpulan).
Sebagai tindakan yang lebih ekstrem, nonaktifkan konten emote mengambil: beralih “Muat konten jarak jauh dalam pesan” di Mail untuk preferensi macOS dan Muat Gambar Jarak Jauh di Mail untuk iOS.
Apple kemungkinan akan mengeluarkan perbaikan darurat untuk cacat serius ini, jadi tetap pantau dan perhatikan ruang ini karena kami berjanji akan membuat Anda tetap dalam lingkaran.
Sementara itu, beri tahu kami apa pendapat Anda tentang kerentanan yang baru ditemukan ini di Apple Mail dan klien email lainnya dengan memberikan komentar di bawah.
