Il FEP ha pubblicato alcune istruzioni enitiled "Come Per riattivare PGP il più sicuro possibile ".
L'enfasi è mia e la qualifica mi preoccupa. Realisticamente, quali rischi corro se seguo le loro istruzioni?
E mi aiuterà se li seguirò & il mittente o il destinatario delle mie e-mail non lo fa?
Hai ragione nel dire che ci sono ancora rischi coinvolti.
Innanzitutto, ci sono i rischi che puoi eliminare seguendo le raccomandazioni di EFF. Utilizzare solo un client di posta elettronica che sia stato correttamente riparato. Assicurati di averlo effettivamente aggiornato ad una versione sicura. Preferibilmente, non attivare il rendering di e-mail HTML.
Quindi, ci sono dei rischi che dovrai accettare se vuoi la comodità di decifrare le e-mail all'interno del tuo client di posta elettronica. Come evidenziato in questa risposta , le persone dietro EFAIL hanno scoperto meccanismi di esfiltrazione multipli, alcuni non correlati all'HTML. Come sempre, c'è il rischio che ci siano trucchi più intelligenti che aspettano di essere scoperti. In effetti, il gioco del gatto e del topo è già attivo. Secondo EFF, la prima correzione di Enigmail che è stata pubblicata è stata presto elusa. Speriamo che le future correzioni abbiano un'emivita più lunga.
Ecco perché è più sicuro utilizzare semplicemente un programma separato dal client di posta elettronica per eseguire la decrittografia. Sfortunatamente, mentre è sicuro, non è un'opzione molto pratica. Sembra che il FEP pensi che la contraddizione tra sicurezza e usabilità al centro del PGP non possa essere risolta e che abbiamo bisogno di qualcosa di meglio. Da tuo link :
But if we’re to continue to use and recommend PGP for the cases where it is most appropriate—protecting the most vulnerable and targeted of Internet users—we need to carry on that conversation. We need to cooperate to radically improve the secure email experience, to learn from what we know about modern cryptography and usability, and to decide what true 21st-century secure email must look like.
It’s time to upgrade not just your PGP email client, but also the entire secure email ecosystem, so that it’s usable, universal, and stable.