PGP e S/MIME podem comprometer emails encriptados

Se tem por hábito usar encriptação PGP ou S/MIME para enviar e receber emails, talvez seja boa ideia reconsiderar: um grupo de investigadores europeus encontrou vulnerabilidades em ambos os standards.

As falhas de segurança encontradas podem potencialmente revelar os conteúdos de mensagens encriptadas que enviar e receber por email quando usar os métodos de encriptação PGP ou S/MIME.

O alerta, avançado por investigadores Electronic Frontier Foundation e que já haviam reportado o ataque Drown que afectou 11 milhões de sites HTTPS em 2016, indica que as vulnerabilidades mais sérias, algumas das quais existem há mais de uma década, residem nos programas de email Thunderbird, macOS Mail e Outlook – e ainda estão por resolver.

O problema começa pelo modo como os programas lidam com vários elementos no corpo de um email, permitindo incluir passagens invisíveis de texto encriptado obtido anteriormente em novos emails. Ao incluir também o endereço web de um servidor controlado por um atacante, os emails enviados novamente podem fazer com que os programas enviem o texto simples para o servidor.

Entretanto, o grupo de investigadores publicou um documento a detalhar as vulnerabilidades e nota que, enquanto não houver uma solução, a medida mais aconselhável é desactivar os plugins PGP no programa de email que usa.

Os interessados em saber mais detalhes técnicos sobre as vulnerabilidades podem ler o documento publicado pelo grupo de investigadores aqui.

 

DEIXE UMA RESPOSTA

Please enter your comment!
Please enter your name here

18 − 16 =