Schwachstellen in E-Mail-Signaturprüfung

0
1258
Die gefundenen Schwachstellen ermöglichen Angreifern, unsignierte E-Mails fälschlicherweise als signiert und damit als vertrauenswürdig anzeigen zu lassen. Entwickler von E-Mailclientsoftware haben schon entsprechende Updates zur Verfügung gestellt. (Foto: Benni Rupp, CC BY 2.0, www.flickr.com)

Sicherheitsforscher haben Schwachstellen in den Implementierungen der weitverbreiteten E-Mail-Verschlüsselungsstandards S/MIME und OpenPGP gefunden. Diese Schwachstellen ermöglichen Angreifern unter anderem, unsignierte E-Mails fälschlicherweise als signiert und damit als vertrauenswürdig anzeigen zu lassen. Somit kann die Authentizität und Integrität einer Nachricht beim Empfänger nicht sichergestellt werden.

Darüber wurde das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert, das ein paar Empfehlungen bezüglich des Umgangs mit diesen Sicherheitsrisiken veröffentlicht hat. Die E-Mail-Programme auf dem aktuellen Stand zu halten ist eine der präventiven Maßnahmen, die das BSI empfiehlt. Es hat auch empfohlen, das Nachladen externer Inhalte sowie das Anzeigen von HTML-Code zu deaktivieren. Das BSI hat bislang keine Kenntnis darüber, dass entsprechende Manipulationen von Angreifern bereits durchgeführt wurden.

Auch die Entwickler von E-Mailclientsoftware wurden vor der Veröffentlichung der Schwachstellen informiert und haben Updates zur Verfügung gestellt.

Zur Ausnutzung der gefundenen Schwachstellen nutzten die Sicherheitsforscher verschiedene Angriffsmethoden. Unter anderem machten sie sich dabei zunutze, wie E-Mail-Programme damit umgehen, wenn die Nachricht die Signaturen von mehr als einem Absender enthält. Wie sich herausstellte, kann ein Angreifer bei seiner gefälschten E-Mail mit ungültiger Signatur etwa eine zweite Nachricht mit gültiger Signatur mitschicken. Viele Mailprogramme zeigen dann die gefälschte Nachricht an, prüfen aber die Signatur der anderen Nachricht – was dazu führt, dass es für den Empfänger so aussieht als hätte die Nachricht des Angreifers eine gültige Signatur.

Coordinated Vulnerability Disclosure

Im März dieses Jahres wurde das BSI in den sogenannten Coordinated-Vulnerability-Disclosure-Prozess eingebunden. Das Ziel dieses Prozesses ist es, Herstellern die Möglichkeit zu geben, Patches für gefundene Schwachstellen zu entwickeln, bevor diese Schwachstellen öffentlich werden. Dies würde dazu führen, dass die Angreifer deutlich weniger Zeit haben, um die neuen Schwachstellen ausnutzen zu können.

Kommentieren Sie den Artikel

Please enter your comment!
Please enter your name here