Fout in de populaire Thunderbird e-mail extensie Enigmail. Versleutelde berichten gewoon leesbaar

Een fatale fout in de populaire Thunderbird extensie Enigmail kan ertoe leiden dat mails die versleuteld zijn volgens de specificaties van de software toch gewoon als platte tekst online zichtbaar zijn. Iedereen die vertrouwelijke of zelfs geheime informatie met deze functie verstuurt, loopt het risico dat deze door derden wordt gelezen.

De fout is ontdekt in de zogenaamde junior mode, die standaard actief is na de Enigmail installatie. In deze modus wordt de Pretty Easy Privacy (pEp) encryptiemethode (pEp) gebruikt om de e-mailcodering te vergemakkelijken en voor iedereen beschikbaar te maken. Het ontlast de gebruiker van alle instellingsstappen en gebruikt de gevestigde OpenPGP op de achtergrond. pEp werd in het voorjaar van 2018 geïntegreerd in Enigmail.

Bedrieglijke beveiliging

Een statusbericht aan de onderkant van de mail editor geeft aan of encryptie wordt gebruikt. Als er staat “Privacy status: Secure” of “Secure & Familiar”, zou er geen twijfel over moeten bestaan dat het e-mailbericht end-to-end versleuteld wordt verzonden. In werkelijkheid blijkt dat niet het geval. Het bericht wordt gewoon als onversleutelde platte tekst verstuurd.

Module onmiddelijk uitschakelen

De bug lijkt alleen voor te komen in de Windows versie van de software. Tot nader order moet je de junior mode van Enigmail vermijden en “het gebruik van S/MIME en Enigmail forceren”.

Ontwikkelaars werken aan update

De bug zit niet in de Enigmail code, maar in de pEp module, die niet geschreven is door Enigmail ontwikkelaar Patrick Brunschwig, maar bijgedragen door de Stichting p≡p. Hoewel het een integraal onderdeel is van elke Enigmail-installatie, wordt het afzonderlijk ontwikkeld en kan het onafhankelijk van de Enigmail-extensie worden bijgewerkt.

IT-experts ontdekken lek in versleuteling voor beveiligde e-mail

IT-experts van de Hogeschool Münster en Hogeschool Bochum in Duitsland en de Leuvense Universiteit in België hebben lekken ontdekt in twee gangbare versleutelingsmethoden voor e-mail. Het zwakke punt kan aanvallers toegang hebben gegeven tot versleutelde berichten.

OpenPGP- en S/MIME

 

E-Mailberichten die zijn gecodeerd met de OpenPGP- en S/MIME-standaarden blijken op twee verschillende manieren zo te kunnen worden gemanipuleerd, dat aanvallers de inhoud gewoon kunnen lezen.

De onderwijsinstellingen hebben hun bevindingen gemeld aan het Federaal Bureau voor Informatiebeveiliging (BSI) in Duitsland.

Hack is niet eenvoudig

 

Het blijkt overigens niet eenvoudig om de versleutelde mail te kraken.

Volgens het BSI moet een aanvaller toegang hebben tot de verbindingen, mailserver of e-mailinbox van de ontvanger om de kwetsbare versleutelingsoftware te kunnen uitbuiten.

Daarnaast moet actieve content aan ontvangende zijde worden toegestaan, zoals het uitvoeren van HTML-code en in het bijzonder het laden van externe content.

De producenten van e-mailclients hebben inmiddels updates van hun producten aangekondigd of reeds beschikbaar gesteld. Een veilige configuratie beschermt ook tegen speciale beveiligingsupdates.

Het BSI geeft daarnaast het volgende advies:

  • Actieve inhoud in de e-mailclient moet worden gedeactiveerd. Dit omvat het uitvoeren van HTML-code en het herladen van externe content, wat vaak om ontwerptechnische redenen is toegestaan.
  • E-mailservers en e-mailclients moeten tegen pogingen van onbevoegden worden beveiligd.