メールのPGPやS/MIME暗号化に関わる脆弱性EFAIL
タレコミ by Anonymous Coward
あるAnonymous Coward 曰く、
情報元へのリンク
暗号化されたメールが丸見えになるのかと思いきや、犠牲者のメールクライアントが復号化した内容をHTMLレンダリングなどで外部に漏らすとかいうショボい話だった模様。つまり、攻撃者は事前に暗号文を持っている必要がある。
ただ、攻撃者が既に暗号文を持っている場合は、MIMEの仕様から容易にCBC(あるいはCFB)ガジェットを作って復号化させ、imgタグなどに埋め込むことができる。
一通のメールを送るだけで、過去の数百通のS/MIME暗号メールの平文内容を漏洩させることができるらしい。
NeoPGP開発者はOpenPGPのMDCチェックに関して抜本的な対策が必要だと主張している。
https://twitter.com/neopg_/status/995973106161332224
https://github.com/das-labor/neopg/commit/8e18825c7f6b4d2175a44612f6e4cf7aba4dcbb7
本件は、脆弱性そのものだけでなく、その公表にまつわるゴタゴタのほうが深刻かもしれない。
「明日発表する」と言っておきながら、あちこちからリークされ、結局予定より早く公表することになった。
情報元へのリンク
メールのPGPやS/MIME暗号化に関わる脆弱性EFAIL More ログイン