E-Mail-Verschlüsselung bleibt sicher

Angriff auf PGP- und S/MIME-Verschlüsselung nutzt Schwachstellen in E-Mail-Clients

(PresseBox) - Am 14.05.2018 veröffentlichte ein Team aus Sicherheitsforschern der Fachhochschule Münster, der Ruhr Universität Bochum und der Universität Leuven (Belgien) einen Bericht, der die Sicherheit der Verschlüsselungsstandards PGP und S/MIME in Frage stellt und damit weltweites Aufsehen erregt. Die aufgedeckten Sicherheitslücken (CVE-2017-17688 und CVE-2017-17689) betreffen jedoch nicht die Protokolle selbst, sondern nutzen eine bereits länger bekannte Schwachstelle in E-Mail-Clients, um verschlüsselte E-Mails zu entschlüsseln und dem Angreifer zuzustellen. Die Angriffe sind technisch komplex und benötigen mehrere Schritte zur erfolgreichen Umsetzung.

Erste Voraussetzung für einen erfolgreichen Angriff: Die E-Mail muss bereits in verschlüsselter Form beim Angreifer vorliegen. Hierfür muss er die E-Mails auf dem Transportweg per "Man-in-the-Middle"-Attacke abfangen oder einen Mailserver kompromittiert haben.

Anschließend könnten die Angreifer laut den Autoren des Papers zwei sich ähnelnde Angriffsmethoden anwenden, um E-Mails mit vorhandener PGP- oder S/MIME-Verschlüsselung zu entschlüsseln. Der erste Angriff ist recht simpel auszuführen, dafür aber auf bestimmte Mail-Clients (Apple-Mail, iOS-Mail, Mozilla Thunderbird) und ggf. dort installierte Plugins von Drittanbietern beschränkt. Die zweite Möglichkeit, um PGP- oder S/MIME-verschlüsselte E-Mails auszulesen, besteht aus einer schon länger bekannten Methode zum Extrahieren von Plaintext in Blöcken verschlüsselter Nachrichten. Bei beiden Arten werden die abgefangenen verschlüsselten E-Mails manipuliert.

Wichtig bei diesen beiden Angriffsmethoden ist, dass die Verschlüsselungsmethoden S/MIME und PGP selbst nicht gebrochen werden; vielmehr nutzen sie Schwachstellen in E-Mail-Clients für HTML-Mails aus, um die Verschlüsselungstechniken zu umgehen.

"Die Darstellung, PGP und S/MIME seien nicht mehr sicher, erweist der IT-Sicherheit einen Bärendienst", sagt Oliver Dehning, Leiter der TeleTrusT-AG "Cloud Security" und Geschäftsführer des Cloud-Security-Anbieters Hornetsecurity. "Sie läuft allen Bemühungen zuwider, die Sicherheit des Kommunikationsmittels E-Mail zu erhöhen. Die Empfehlung diverser Sicherheitsforscher nach genereller Deaktivierung von Inhaltsverschlüsselung ist nicht nachvollziehbar. Das Gegenteil ist richtig: E-Mail-Verschlüsselung erhöht die Sicherheit und sollte unbedingt eingesetzt werden."



Auch das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass PGP und S/MIME weiterhin sicher eingesetzt werden können, wenn sie korrekt implementiert und sicher konfiguriert sind.

Weitere Infos zu dieser Pressemeldung:
Unternehmensinformation / Kurzprofil:
Bereitgestellt von Benutzer: PresseBox
Datum: 15.05.2018 - 12:02 Uhr
Sprache: Deutsch
News-ID 1610837
Anzahl Zeichen: 2783

Kontakt-Informationen:
Stadt:

Berlin

Kategorie:

New Media & Software

Diese Pressemitteilung wurde bisher 326 mal aufgerufen.

Was ist "Stand der Technik" in der IT-Sicherheit- ...
In mehreren europäischen Ländern verfolgen die nationalen Gesetzgeber das Ziel, Defizite in der IT-Sicherheit abzubauen. Daneben gilt seit dem 25.05.2018 die EU-Datenschutz-Grundverordnung (DSGVO) mit ihren hohen Anforderungen an die technischen und organisatorischen Maßnahmen. Beide Rechtsquelle

Fraunhofer SIT tritt mit "Volksverschlüsselung" dem TeleTrusT-PKI-Vertrauensverbund European Bridge CA bei ...
Vertrauensverbund European Bridge CA des Bundesverbandes IT-Sicherheit e.V. (TeleTrusT) bei. Der Beitritt ermöglicht Bürgern die verschlüsselte E-Mail-Kommunikation zu Unternehmen, Banken und Institutionen. Fraunhofer SIT und TeleTrusT schaffen eine weitere Vertrauensbrücke, um auch die öffentl

TeleTrusT - Bundesverband IT-Sicherheit e.V.: Neuer Vorstand ...
Auf der Jahresmitgliederversammlung 2018 mit einer Rekordzahl an Teilnehmern zog der Bundesverband IT-Sicherheit e.V. (TeleTrusT) positive Bilanz und stellte die Weichen für Aktivitäten im Jahr 2019. Mit kontinuierlichem Zuwachs an Neumitgliedern verzeichnet der Verband mit jetzt 335 einen neuen H

Weitere Mitteilungen von TeleTrusT - Bundesverband IT-Sicherheit e.V.

cbs präsentiert Komplettangebot für die Digitale Transformation auf der SAPPHIRE ...
Leitbild des Messeauftritts: Die ONE Global Corporation on S/4HANA als Ziel globaler SAP-Industriekunden Heidelberg, 15. Mai 2018 - ONE Global Corporation on SAP S/4HANA - unter diesem Motto präsentiert sich die Unternehmensberatung cbs Corporate Business Solutions erstmals auf der Cloud and Bus

Optimaler Versicherungsschutz für die Treiber der Digitalisierung ...
Passgenaue Berufshaftpflicht (Vermögensschadenhaftpflicht) für IT-Dienstleister schützt gegen berufliche Risiken / Modularer Aufbau mit breiter Eigenschaden-Deckung und kostenfreiem Präventionspaket wird Vielfalt und Dynamik des Marktes gerecht Mit einer auf die spezifischen Bedürfnisse

TÜV Rheinland: ISO 27001 unterstützt bei der Umsetzung der Datenschutzgrundverordnung in Unternehmen ...
Am 25. Mai 2018 ist die Datenschutzgrundverordnung (DSGVO) für Unternehmen wirksam. Unternehmen müssen ab diesem Tag entsprechende Maßnahmen umgesetzt haben, um die Verordnung zu erfüllen. Dabei formuliert die DSGVO in Artikel 1 ein wichtiges Ziel: Das Recht natürlicher Personen und insbesonder

Fotobearbeitungsprogramm jetzt kostenlos herunterladen ...
Jetzt Fotobearbeitungsprogramm jetzt kostenlos herunterladen und endlich professionelle Fotobearbeitung bewerkstelligen. Perfekte Fotobearbeitung erst recht mit einem professionellen Fotobearbeitungsprogramm ist für viele Hobbyfotografen immer noch wie ein Buch mit sieben Siegeln. Viele Programme