Insbesondere ist PGP nicht das Problem. Das Problem liegt in den Mail-Handling-Apps in Ihrem Browser, für die Sie Ihre PGP-Schlüssel verwenden dürfen. Diese Browser-Apps entschlüsseln die Nachricht wie sie sollten, aber in dieser Nachricht befindet sich zusätzlich zu Ihrem Geheimnis eine Trojaner-URL, die eine Angreifer-Site ist. Ihre Browser-App hat dumm versucht, eine Verbindung zu der URL herzustellen, an die Ihr Geheimnis am Ende angehängt ist.

Für die meisten Menschen ist die praktischste Methode (über Ihren Link):

Kurzfristig: Deaktivieren Sie das HTML-Rendering. Die EFAIL-Angriffe missbrauchen aktive Inhalte, hauptsächlich in Form von HTML-Bildern, -Stilen usw. Durch Deaktivieren der Darstellung eingehender HTML-E-Mails in Ihrem E-Mail-Client wird die bekannteste Art des Angriffs auf EFAIL geschlossen. Beachten Sie, dass es in E-Mail-Clients andere mögliche Rückkanäle gibt, die sich nicht auf HTML beziehen, diese jedoch schwieriger auszunutzen sind.

Dann wird jede URL in der entschlüsselten Nachricht als Text angezeigt, einschließlich des Trojaners URL. Mit ziemlicher Sicherheit könnten Sie sich die URL ansehen und wissen, dass etwas nicht stimmt. Wenn nichts falsch war und Ihr E-Mail-Programm über eine Schaltfläche verfügt, mit der Sie die HTML-Ansicht für diese einzelne E-Mail umschalten können, können Sie die E-Mail sicher lesen.

Die andere vorgeschlagene Methode:

Kurzfristig: Keine Entschlüsselung im E-Mail-Client. Der beste Weg, um EFAIL-Angriffe zu verhindern, besteht darin, S / MIME- oder PGP-E-Mails nur in einer separaten Anwendung außerhalb Ihres E-Mail-Clients zu entschlüsseln. Entfernen Sie zunächst Ihre privaten S / MIME- und PGP-Schlüssel von Ihrem E-Mail-Client und entschlüsseln Sie dann eingehende verschlüsselte E-Mails, indem Sie & kopieren und den Chiffretext in eine separate Anwendung einfügen, die die Entschlüsselung für Sie vornimmt. Auf diese Weise können die E-Mail-Clients keine Exfiltrationskanäle öffnen. Dies ist derzeit die sicherste Option mit dem Nachteil, dass der Prozess stärker involviert wird.

könnte schwieriger sein. Auf einem Handy könnte es sehr sehr schwierig sein. Auf einem Laptop oder Desktop hängt es davon ab, wie einfach es wäre, die Nicht-Browser-App einzurichten oder von jemandem für Sie ausführen zu lassen. Die umständliche Zeit zum Ausschneiden und Einfügen hängt davon ab, wie viele verschlüsselte Nachrichten Sie verarbeiten müssen.

Sie sollten auch darauf achten, dass die Nicht-Browser-App nicht automatisch versucht, die URL zu kontaktieren.

BEARBEITEN: Das Hinzufügen von Anführungszeichen zur Nachricht schützt Ihre gesendeten verschlüsselten E-Mails nicht. Vielen Dank an @Anders für den Hinweis auf die Referenz.

Deaktiviert das HTML-Rendering. (Nicht HTML senden : HTML rendern . Es spielt keine Rolle, welche E-Mail Sie senden. Entscheidend ist , was Ihr Mailer beim Empfang der E-Mail des Gegners tut .)

1. Konfigurieren Sie Ihren Mailer so, dass der automatische PGP-Schlüssel-Download, die S / MIME-OCSP-Überprüfung, der S / MIME-CRL-Download und der S / MIME-Zwischen-CA-Download deaktiviert werden. Erwägen Sie stattdessen, Ihre Schlüsselringe und Zertifikatspeicher regelmäßig zu aktualisieren. Hier gibt es einen Kompromiss: Sie können sich in den Fuß schießen, indem Sie widerrufene Zertifikate nicht bemerken, und Sie können sich mit Stapeln verwandter Downloads dekanonymisieren, aber der automatische Schlüssel-Download Ihres Mailers oder der OCSP-Verifizierer oder der CRL-Downloader können Sie in den Fuß schießen.

2. Deaktivieren Sie möglicherweise die automatische Entschlüsselung in Ihrem Mailer. Hier gibt es einen Kompromiss: Sie können sich in den Fuß schießen, indem Sie die Kommunikationsbarriere so hoch anheben, dass Sie es nicht mehr tun möchten, aber die automatische Entschlüsselung Ihres Mailers kann Sie in den Fuß schießen.

3. Befolgen Sie die thegrugq-Anleitung zur Verwendung von PGP, wenn Sie PGP zur Verteidigung gegen ein ernstes Bedrohungsmodell verwenden müssen und bereit sind, die Befehlszeile gpg zu verwenden Tool mit all dem mentalen Overhead, der impliziert. (Lesen Sie die OpenSSL-Manpages, wenn Sie S / MIME verwenden müssen, aber erwarten Sie nicht, dass das OpenSSL-Befehlszeilenprogramm einer genauen Prüfung unterzogen wird…)

4. Wenn Sie jemanden kennen, der verbunden ist Unterstützen Sie bei der OpenPGP- oder S / MIME-Entwicklung ihre Bemühungen, moderne Kryptografietechniken einzusetzen, und formulieren Sie sinnvolle Sicherheitsziele in realen Anwendungen wie Mailern und Paketüberprüfung, nicht nur im Befehlszeilentool gpg . (Schreien Sie nicht in den Hacker-Nachrichten, da die Menschheit ihre HN-Heißluftquote bereits überschritten hat.)

5. Signal verwenden.

6. Weitere Details finden Sie unter crypto.se.

ol>

Neben dem Deaktivieren des HTML-Renderings gibt es noch eine andere Lösung, die Sie dennoch sollten.

Dies ist eine Liste der betroffenen Clients und Webmailer ^{1 sup>:}

Die Der Efail-Angriff in seiner aktuellen Form beruht in erster Linie auf einer Client-Sicherheitslücke. Wenn Sie einen der betroffenen Clients verwenden, sollten Sie vorerst darüber nachdenken, zu einem anderen zu wechseln, obwohl dies auf lange Sicht möglicherweise keine Lösung darstellt. Halten Sie auch Ihren Client und Ihr S / MIME- und / oder PGP-Plugin auf dem neuesten Stand. Angeblich mildert Enigmail 2.0 bereits Efail. ^{1 sup>}

^{{1} https://efail.de/efail-attack-paper.pdf sup>
{2} https://www.heise.de/newsticker/meldung/Efail-Was-Sie-jetzt-beachten-muessen-um-sicher-E-Mails- zu-verschicken-4048988.html sup>}

Derzeit wird empfohlen, die automatische Entschlüsselung der E-Mail in Ihrem E-Mail-Client zu vermeiden. In den meisten Fällen bedeutet dies, das entsprechende Plugin zu deinstallieren. Anschließend müssen Sie den verschlüsselten Text in eine separate Anwendung kopieren, um ihn anzuzeigen.

Sie sollten weiterhin in der Lage sein, verschlüsselte E-Mails zu senden, vorausgesetzt, der Empfänger trifft die entsprechenden Vorsichtsmaßnahmen, obwohl dies wahrscheinlich die Verwendung des Textes bedeuten würde problematische Plugins.

Laut Martin Vetgers Kommentar kann das Deaktivieren des automatischen HTML-Renderings den Angriff ebenfalls weitgehend abschwächen, obwohl die Forscher auch sagten, dass andere Kanäle verfügbar seien, die mit mehr Arbeit ausgenutzt werden könnten.

Was dies für Sie als Endbenutzer bedeutet, ist sehr unterschiedlich.

Um von diesem Exploit zu profitieren, muss der Angreifer in der Lage sein, die E-Mail-Nachricht während der Übertragung zu ändern oder eine E-Mail erneut zu senden dass sie zuvor erfasst haben. Natürlich können dies mehrere Nationalstaaten oder Ihr Arbeitgeber tun, aber ich vermute, es ist unwahrscheinlich, dass Sie viele Kriminelle finden, die einen zwielichtigen WLAN-Hotspot betreiben, in der Hoffnung, vertrauliche persönliche Informationen aus Ihren PGP-E-Mails abzurufen.

Wenn ja Nur auf Privatsphäre bedacht, dann könnten Sie wahrscheinlich einfach weitermachen. Die E-Mail wird weiterhin auf dem Mailserver verschlüsselt, und GCHQ / NSA usw. können sie möglicherweise abrufen, aber die Strafverfolgung kann sie nicht gegen Sie verwenden.

Sie könnten versuchen, die Firewall-Regeln einzuschränken Ihr Computer auch, so dass der Mail-Client nur an 1 oder 2 Ports kommunizieren kann. Das würde den HTML-Vektor vollständig blockieren und möglicherweise viele andere Wege für die Exfiltration abschneiden.

Wenn Leben auf dem Spiel stehen, ist es am besten, ihn aufzugeben ...

Kurzfristige Korrekturen

Sie können zwischen zwei kurzfristigen Korrekturen wählen:

1. Deaktivieren Sie das HTML-Rendering in Ihrem E-Mail-Client. (Beachten Sie, dass HTML gerendert wird, dh angezeigt und nicht gesendet .)
2. Beenden Sie die Entschlüsselung von E-Mails in Ihrem E-Mail-Client (z. B. durch Deaktivieren des PGP) Plugin) und kopieren Sie stattdessen die verschlüsselten Daten in ein separates Programm, um die Entschlüsselung durchzuführen.
ol>

Auf der EFAIL-Webseite wird auf mögliche Möglichkeiten zum Exfiltrieren von Daten ohne HTML verwiesen Daher ist es möglicherweise nicht ganz sicher, nur Nummer 1 zu tun. Das ist wahrscheinlich der Grund, warum EFF auch # 2 empfiehlt. Obwohl # 2 weniger praktisch ist, ist es wahrscheinlich sicherer.

Updates installieren

Da die Sicherheitsanfälligkeit in der Interaktion von E-Mail-Clients mit PGP liegt, sollten Sie Ihren E-Mail-Client aktualisieren und alle Plugins dazu. Wenn das Problem in Ihrem E-Mail-Client behoben ist, können Sie mit den kurzfristigen Maßnahmen aufhören. Sowohl Nr. 1 als auch Nr. 2 sind jedoch auch ohne EFAIL angemessene Sicherheitsvorkehrungen. Wenn Sie sich also angewöhnt haben, sie zu verwenden, können Sie genauso gut fortfahren.

OpenPGP oder eine seiner Implementierungen sind dies nicht von Natur aus defekt. Obwohl Sie Ihre Software immer auf dem neuesten Stand halten sollten, müssen Sie sie aus diesem Grund nicht speziell aktualisieren. Sie müssen auch nicht aufhören, sie zu verwenden.

Denken Sie an die anderen Teilnehmer

Da sowohl der Absender als auch alle Empfänger E-Mails entschlüsseln können, kann der EFAIL-Angriff auf jeden von ihnen gerichtet werden diese. Selbst wenn Sie die oben genannten Vorsichtsmaßnahmen treffen, werden die von Ihnen gesendeten und empfangenen Nachrichten möglicherweise immer noch entschlüsselt, wenn die Personen, mit denen Sie kommunizieren, weniger umsichtig sind.

Vorerst sollten Sie dies vor der Verwendung berücksichtigen diese Tools.