Die Nachricht im Mai 2018 verunsicherte viele E-Mail-Nutzer: Ein Forscherteam entdeckte potenzielle Sicherheitsprobleme in den beiden gängigen Verfahren zur Mail-Verschlüsselung (PGP und S/MIME). Der Fall wurde unter dem Namen Efail bekannt und beschäftigt seitdem Sicherheitsexperten.
Was ist Efail?
Ziel eines Angriffs im Rahmen von Efail ist es, unberechtigter Weise an den Inhalt einer verschlüsselten E-Mail zu gelangen. Die Voraussetzungen für einen erfolgreichen Efail-Angriff sind:
- Ein Angreifer muss Zugriff auf die verschlüsselte E-Mail bekommen. Dies setzt bereits einen erfolgreichen Angriff auf bestehende Kommunikationskanäle im Vorfeld voraus.
- Der E-Mail Client muss HTML-Mails interpretieren.
- Die zu kompromittierende Mail muss gezielt verändert werden.
- Die manipulierte, verschlüsselte E-Mail muss einem legitimen Empfänger oder dem Absender zugestellt werden.
- Der Empfänger muss die manipulierte E-Mail in einem für den spezifischen Angriffstyp anfälligen Mail-Client öffnen.
- Der Mail-Client muss das Nachladen von externen Daten ermöglichen (z.B. Bilder).
- Als Konsequenz kann der Angreifer somit den, vom Mail-Client entschlüsselten Inhalt der E-Mail an einen von ihm kontrollierten Server übertragen und dann im Klartext lesen – es kommt zum „Efail“.
Welche Arten von Angriffen gibt es bei Efail?
Bei Efail gibt es zwei unterschiedliche Angriffsarten.
Direkte Exfiltration
Der verschlüsselte Inhalt einer E-Mail ist generell von unverschlüsseltem Text umgeben (Header, Encoding etc.). Bei der direkten Exfiltration werden Teile einer E-Mail so verändert, dass um den verschlüsselten Text HTML Tags gelegt werden. Und zwar so, dass der entschlüsselte Text Teil einer URL wird, die beispielsweise zum Laden eines Bildes verwendet wird. Wird das Nachladen der Bilder nicht unterbunden, wird der nun unverschlüsselte Teil der E-Mail dann an einen externen Webserver geleitet. Mithilfe von Tracking kann so auch festgestellt werden, ob und wann eine E-Mail geöffnet wurde.
CBC Gadget Attack
Bei diesem Angriff wird versucht die E-Mail mittels einer sogenannten Known Plaintext-Attacke zu verändern. Es wird ausgenutzt, dass der verschlüsselte Teil einer E-Mail fast immer mit demselben Text beginnt („Content-Type: application/pkcs7-mime“). Dies ist möglich, da der Standard für S/MIME keine Authentizitätsprüfung des Inhalts vorsieht. Der zugrundeliegende Algorithmus lässt es in dem Fall zu, dass bestehende Inhalte in dem verschlüsselten Teil der Mail verändert werden können und zwar ohne, dass der Angreifer über den privaten Schlüssel verfügt. Diese zusätzlichen Befehle veranlassen beim Öffnen der Mail wie bei der „Direkten Exfiltration“ die Übertragung der entschlüsselten Mail an einen externen Webserver.
Materna Virtual Solution lernt von Efail
Auch Materna Virtual Solution hat sich mit den Schwachstellen, die bei Efail entdeckt wurden, ausführlich auseinandergesetzt und nutzt die Erkenntnisse nun, um weitere Sicherheitsfeatures in Produkte zu implementieren. Ein Aspekt, der bei Efail ausgenutzt wird, ist das Herunterladen von externem Inhalt in E-Mails, wie beispielsweise Bilder. In der neuen Version von SecurePIM ist es möglich, diesen Vorgang komplett zu unterbinden. Bisher wurden externe Inhalte nicht automatisch geladen, sondern der Download musste manuell ausgeführt werden. Administratoren können jetzt eine entsprechende Einstellung im SecurePIM Management Portal oder MDM vornehmen und auch das manuelle Herunterladen verbieten. Dieses Feature ist mit dem aktuellen Release sowohl für Android als auch für iOS verfügbar.
Mehr als sicher
SecurePIM soll die Arbeit auf dem Smartphone und Tablet aber nicht nur sicher machen. Wir möchten auch, dass höchste Sicherheit benutzbar bleibt. Deshalb gibt es in der neuen iOS-Version (7.78.2) und Android-Version (6.8.0) viele neue Features, die Benutzern das Arbeiten leichter machen.
Mehr über die neuesten Features aus dem aktuellen Release lesen Sie in unseren Release Updates.
Noch kein SecurePIM Nutzer?
Falls Sie über aktuelle Blogartikel informiert werden möchten, stehen Ihnen verschiedene Möglichkeiten zur Auswahl, um dem Blog zu folgen: