In particolare, PGP non è il problema. Il problema si trova con le app di gestione della posta nel tuo browser a cui hai permesso di utilizzare le tue chiavi PGP. Quelle applicazioni browser decrittografano il messaggio come dovrebbero, ma all'interno di quel messaggio oltre al tuo segreto c'è un URL trojan che è un sito degli attaccanti. La tua app del browser ha tentato stupidamente di connettersi all'URL a cui è stato aggiunto il tuo segreto alla fine.

Per la maggior parte delle persone il metodo più pratico è (dal tuo link):

Short term: Disable HTML rendering. The EFAIL attacks abuse active content, mostly in the form of HTML images, styles, etc. Disabling the presentation of incoming HTML emails in your email client will close the most prominent way of attacking EFAIL. Note that there are other possible backchannels in email clients which are not related to HTML but these are more difficult to exploit.

Quindi qualsiasi URL nel messaggio decrittografato apparirà come testo, incluso l'URL trojan. Quasi certamente saresti in grado di guardare l'URL e sapere che qualcosa non andava. Se non c'è niente di sbagliato e se il tuo programma di posta elettronica ha un pulsante per consentire di attivare la visualizzazione HTML per quella singola posta, potrai quindi leggere tranquillamente la posta.

L'altro metodo suggerito:

Short term: No decryption in email client. The best way to prevent EFAIL attacks is to only decrypt S/MIME or PGP emails in a separate application outside of your email client. Start by removing your S/MIME and PGP private keys from your email client, then decrypt incoming encrypted emails by copy & pasting the ciphertext into a separate application that does the decryption for you. That way, the email clients cannot open exfiltration channels. This is currently the safest option with the downside that the process gets more involved.

potrebbe essere più difficile. Su un telefono cellulare potrebbe essere molto molto difficile. Su un laptop o desktop, dipende da quanto sarebbe facile impostare l'app non-browser o qualcuno che lo faccia per te. Il poco tempo impiegato per tagliare e incollare dipende dal numero di messaggi crittografati che devi elaborare.

Dovresti anche fare attenzione che l'app non-browser non tenti automaticamente di contattare l'URL.

MODIFICA: l'aggiunta di virgolette al messaggio non proteggerà la posta crittografata inviata. Grazie a @Anders per aver indicato il riferimento.

1. Disabilita il rendering HTML. (Non HTML invio : HTML rendering . Non importa quale mail spedisci; ciò che conta è ciò che fa il tuo mailer al ricevimento della mail dell'avversario ).

2. Considera di configurare il tuo mailer per disabilitare il download automatico della chiave PGP, la verifica S / MIME OCSP, il download S / MIME CRL, il download S / MIME della CA intermedio; considerare di aggiornare periodicamente i portachiavi e gli archivi certificati. C'è un compromesso qui: potresti spararti ai piedi non notando i certificati revocati e potresti deanonymize te stesso con lotti di download correlati, ma il download chiave automatico del tuo mailer o il verificatore OCSP o il downloader CRL potrebbero spararti ai piedi.

3. Considera la disattivazione della decrittografia automatica nel tuo mailer. C'è un compromesso qui: puoi spararti ai piedi alzando la barriera della comunicazione così in alto che non vuoi più farlo, ma la decrittazione automatica del tuo mailer può spararti ai piedi.

4. Segui la guida di thegrugq su come per utilizzare PGP se è necessario utilizzare PGP per la difesa da un modello di minaccia grave e si è disposti a utilizzare lo strumento di riga di comando gpg con tutto l'overhead mentale che ciò implica. (Leggi le pagine man di OpenSSL se devi usare S / MIME, ma non aspettarti che l'utilità da riga di comando di OpenSSL resista a scrutinio ...)

5. Se conosci qualcuno connesso allo sviluppo di OpenPGP o S / MIME, sostieni i loro sforzi per farli utilizzare l'ingegneria moderna della crittografia e articolare obiettivi di sicurezza significativi in applicazioni reali come mailer e verifica dei pacchetti, non solo il gpg strumento da riga di comando. (Non fare clamore su Hacker News perché l'umanità ha già superato la quota di aria calda dell'HN.)

6. Usa segnale.

7. Ulteriori informazioni dettagli su crypto.se .

Esiste un'altra soluzione oltre a disabilitare il rendering HTML, cosa che comunque dovrebbe essere.

Questa è una lista di client e webmailer interessati ¹ :

L'attaccoefailnellasuaformaattualesibasainprimoluogosuunavulnerabilitàdelclient.Sesistautilizzandounodeiclientinteressati,sipotrebbevolerpensaredipassareaunaltroperilmomento,anchesepotrebbenonessereunasoluzionealungotermine.Inoltre,aggiornailtuoclienteiltuopluginS/MIMEe/oPGP.PresumibilmenteEnigmail2.0giàmitigaEfail.¹

^{{1} link
{2} < a href="https://www.heise.de/newsticker/meldung/Efail-Was-Sie-jetzt-beachten-muessen-um-sicher-E-Mails-zu-verschicken-4048988.html"> link}

Il consiglio corrente è di evitare di decifrare automaticamente la posta elettronica nel tuo client di posta elettronica. Nella maggior parte dei casi ciò significa disinstallare il plugin pertinente. È quindi necessario copiare il testo crittografato in un'applicazione separata per visualizzarlo.

Dovresti comunque essere in grado di inviare messaggi crittografati, a condizione che il destinatario stia prendendo le precauzioni appropriate, anche se questo probabilmente significherebbe usare i plugin problematici.

Secondo il commento di Martin Vetger, la disattivazione automatica del rendering html può anche mitigare in gran parte l'attacco, anche se i ricercatori hanno anche detto che c'erano altri canali disponibili che potrebbero essere sfruttati con più lavoro.

Ciò che questo significa per te come utente finale può variare parecchio.

Per trarre vantaggio da questo exploit, l'utente malintenzionato deve essere in grado di modificare il messaggio e-mail in transito o inviare nuovamente un'email che ha precedentemente acquisito. Ovviamente più stati nazionali o il tuo datore di lavoro possono farlo, ma sospetto che sia improbabile trovare molti criminali che gestiscono un dubbia hotspot Wi-Fi nella speranza di ottenere alcune informazioni personali riservate dalle tue email di PGP.

Se hai solo problemi di privacy, probabilmente potresti semplicemente continuare. L'email sarà comunque crittografata sul server di posta e GCHQ / NSA potrebbe essere in grado di afferrarlo, ma le forze dell'ordine non possono usarlo contro di te.

Potresti cercare di limitare le regole del firewall anche sulla tua macchina, in modo che il client di posta possa comunicare solo su 1 o 2 porte. Ciò bloccherebbe completamente il vettore html e potenzialmente eliminerebbe molte altre vie per l'exfiltrazione.

Se sono in gioco vite umane, allora è meglio abbandonarlo ...

Correzioni a breve termine

Ci sono due correzioni a breve termine tra cui scegliere:

1. Disattiva il rendering HTML nel tuo client di posta elettronica. (E nota che è render HTML, cioè visualizzarlo, non inviarlo .)
2. Interrompere la decrittografia della posta elettronica nel tuo client di posta elettronica (ad esempio disattivando il plug-in PGP), e invece copiare copia i dati crittografati in un programma separato per eseguire la decrittografia.

La pagina web EFAIL fa riferimento a potenziali modi di esfiltrazione dei dati senza HTML, quindi il solo # 1 potrebbe non essere completamente sicuro. Questo è probabilmente il motivo per cui EFF raccomanda # 2 pure . Quindi, mentre # 2 è meno conveniente, è probabilmente più sicuro.

Installa aggiornamenti

Poiché la vulnerabilità sta nel modo in cui i client di posta elettronica interagiscono con PGP, è necessario aggiornare il client di posta elettronica e tutti i plug-in. Quando il problema è risolto nel tuo client di posta elettronica, potresti smettere con le misure a breve termine. Sia il n. 1 che il n. 2 sono precauzioni di sicurezza ragionevoli anche in assenza di EFAIL, quindi, se hai preso l'abitudine di usarli, potresti anche continuare.

OpenPGP o una qualsiasi delle sue implementazioni non sono intrinsecamente interrotte, quindi mentre si dovrebbe sempre tenere aggiornato il software non è necessario aggiornarlo in modo specifico a causa di ciò. Né dovrai smettere di usarli.

Ricorda gli altri partecipanti

Poiché sia il mittente che tutti i ricevitori possono decrittografare le email, l'attacco EFAIL può essere indirizzato a uno di questi . Quindi, anche se prendi le precauzioni di cui sopra, i messaggi che invii e riceverai potrebbero essere decifrati se le persone con cui comunichi sono meno prudenti.

Per il momento, potresti prendere in considerazione questo aspetto prima di utilizzare questi strumenti.