Für viele Administratoren, IT-Verantwortliche und ambitionierte Computernutzer fing die Woche mit einem Schreck an: IT-Sicherheitsforscher um Sebastian Schinzel von der Fachhochschule Münster meldeten auf Twitter, dass die beiden Verschlüsselungsprotokolle S/Mime und PGP geknackt worden seien. Die Spezialisten führten aus, dass auch E-Mails betroffen seien, die in der Vergangenheit verschlüsselt wurden, und kündigten an, ihre Arbeit im Laufe des Tages zu veröffentlichen.
Später stellte sich jedoch heraus, dass die Prognose wider Erwarten nicht ganz so düster war: die Verschlüsselungsprotokolle selbst waren nicht geknackt worden. Jedoch lassen Schwachstellen innerhalb ihrer Implementierung in den Mail-Clients es zu, dass die entschlüsselten Inhalte an fremde Server übertragen werden. Hierzu wird die Tatsache ausgenutzt, dass ein Großteil der heutigen E-Mailkommunikation nicht wie ursprünglich vorgesehen als reiner Text übertragen wird, sondern als bunte, mit Bildern versehene HTML-Nachricht.
Um HTML-Nachrichten vollständig anzeigen zu können, ist es notwendig, die darin enthaltenen Bilder aus dem Internet nachzuladen. Über diesen Mechanismus wird bei der “EFail” getauften Attacke nun der Inhalt der Nachricht an einen fremden Server übertragen.
Wie genau dies funktioniert ist in der Fachpresse und in der Veröffentlichung der Sicherheitsforscher nachzulesen.
Glücklicherweise lässt sich dieses Verhalten in den meisten E-Mail-Programmen komplett ausschalten. Dies bedeutet aber auch, dass die Anwender viele Nachrichten nicht mehr vollständig angezeigt bekommen – und viele möchten einfach nicht auf Firmenlogo, Smileys und Co. in ihrem E-Mails verzichten. Aufgrund dessen ist anzunehmen, dass viele Anwender diese Funktion schnell wieder aktivieren werden.
Objektiv betrachtet betreffen die veröffentlichten Sicherheitslücken nur einen kleinen Teil der E-Mail-Benutzer. Der Großteil der Anwender versendet die E-Mails nach wie vor unverschlüsselt und damit quasi offen für jeden lesbar. Auch die Aussage und Intention der Bundesregierung, Deutschland führend in der Verschlüsselung werden zu lassen, hat hieran wenig geändert.
Im Gegenteil: gleichzeitig sollen die Sicherheitsdienste der Bundesrepublik technologisch in die Lage versetzt werden, Verschlüsselungen zu umgehen. Was wir hierbei nicht aus den Augen verlieren dürfen: die zu diesem Zwecke genutzten und teilweise bewusst offen gehaltenen Sicherheitslücken ermöglichen auch Hackern Zugang – wenn also Sicherheitsdienste Verschlüsselungen umgehen können, können Hacker dies ebenso. Ein Umstand, der nicht erst seit “WannaCry” bekannt ist.
“Die Piratenpartei fordert daher schon lange den Einsatz von Verschlüsselung zu stärken und auf breiter Ebene zu unterstützen – insbesondere in der Kommunikation mit Behörden, Anwälten und Ärzten”
sagt Borys Sobieski, stellvertretender Landesvorstand der Piratenpartei Baden-Württemberg.
Dass es hier leider nicht zum Besten steht, haben in der Vergangenheit die Probleme um das beA aber auch um DE-Mail gezeigt.
“Wichtig ist es vor allem, die Anwender im Gebrauch mit den mittlerweile etablierten Kommunikationsmedien zu unterstützen und Programmeinstellungen in Bezug auf Sicherheit und Datenschutz klar und verständlich anzubieten. Die gleichzeitige Einführung von Informatik als Pflichtfach gäbe bereits Kindern und Jugendlichen die erforderlichen Kentnisse an die Hand. Sie würden sich in unserer zunehmend digitalisierten Welt besser zurecht finden, sicher kommunizieren und durch Weitergabe ihres Wissens an ältere Generationen allen Menschen ein Leben als mündige Bürger ermöglichen – on- und offline.”
betont Sobieski.
Empfehlungen der PIRATEN zur sicheren E-Mail-Kommunikation:
- HTML-Mails deaktivieren
- automatisches Nachladen von Inhalten deaktivieren
- automatische Entschlüsselung deaktivieren und mit Passwortschutz (Eingabe jedes Mal erforderlich) versehen
- Kommunikationspartner auf die notwendigen Sicherheitsmaßnahmen aufmerksam machen
1. “meldeten auf Twitter, dass die beiden Verschlüsselungsprotokolle S/Mime und PGP geknackt worden seien” – genau das haben sie nicht gemeldet. Sie haben geschrieben, dass es “Probleme mit der Verschlüsselung von E-Mails mit S/Mime und PGP gibt” ((critical vulnerabilities in PGP/GPG and S/MIME email encryption”. Das ist ein wichtiger Unterschied, der leider immer wieder falsch weitergegeben wird.
2. Es gibt zusätzliche Angriffsvektoren neben der einfachen Variante in HTML-E-Mails. Die werden leider auch immer wieder vergessen, weil sich niemand das Paper anschaut. Die ersten beiden Lösungsvorschläge sind daher nicht ausreichend.
Ausreichend ist nur, Inhalte entweder ausserhalb des Mailclients zu entschlüsseln oder die Passwort-Eingabe zu forcieren und das erst nach genauer Prüfung der E-Mail einzugeben.
Moin,
zu 1) Die Autoren haben mittlerweile für die Art der Veröffentlichung genügend Kritik bekommen. Unter anderem eben das es so dargestellt wurde als ob die Protokolle Betroffen sind. Eine unaufgeregtere und weniger reißerische Bekanntmachung wäre wünschenswert gewesen.
zu 2) Ja es gibt weitere Vektoren, daher auch die Links zu einer genaueren Erklärung und dem Paper.
“Objektiv betrachtet betreffen die veröffentlichten Sicherheitslücken nur einen kleinen Teil der E-Mail-Benutzer. Der Großteil der Anwender versendet die E-Mails nach wie vor unverschlüsselt und damit quasi offen für jeden lesbar. ” Der Teil erschließt sich mir nicht so wirklich. Der eigentliche Punkt an der ganzen Kiste ist doch das Ausleiten des dargestellten Plaintextes über einen Backchannel. Der Gag ist hierbei, dass er auch in verschlüsselte Nachrichten eingefügt werden kann, aber Plaintextmails bringen ja das selbe Problem mit.
Kurz: Wir haben Code-Interpretation oder Code-Execution im Client. Nun macht’s zwar wenig Sinn die bereits abgefangene (Plaintext) Mail damit zu versehen, und sie wieder auszuleiten, aber es würde durchaus sinn machen sie zum Framewechsel zu bringen und das Archiv auszuleiten (so als Beispiel) begonnen bei dargestellten Metadaten, geendet beim Content.
Der konkrete beschriebene Angriff zielt zwar darauf ab, dass mir etwas entschlüsselt geschickt wird (kurz: aus der Darstellung) das Problem selbst ist aber doch ganz anderer Natur – Dass mein Client den Bullshit erlaubt und so tut als wäre ne E-Mail ne Homepage die klickibunti sein muss.
Davon mal ab, mag ich den Inhalt/Text 🙂
Ich habe mich bewusst auf den “spektakulär” einfachen Angriff konzentriert. Selbstverständlich kann man mit Mails echt viel anstellen. Ist das ja unter anderem auch ein Grund warum es so viel SPAM und Phishing gibt.
Wie “bescheiden” HTML Mails an sich sind steht auf einem ganz anderem Blatt. Allerdings werden wir diese wohl nicht mehr los.
Keep it simple and easy for the user hat eben seine ganz eigenen Problemstellungen.
Bilder in HTML-Mails müssen nicht zwingend von externen Servern nachgeladen werden.
Sie können auch eingebettet werden, was grundsätzlich die bessere Variante ist, wenn
man denn schon HTML-Mails verwenden möchte.
Richtig, diese Variante ist aber leider selten.