Gestion télécom – Sécurité informatique – Téléphonie IP

Suivez-nous

eFail : Il y a un problème dans le chiffrement des emails

Un eFail dans le cryptage des emails .?

Les omniprésents schémas de cryptage d’email PGP et S/MIME sont vulnérables aux cyberattaques. En effet, c’est ce que viennent de constater des experts en cybersécurité en début de semaine. Cette vulnérabilité, appelée eFail, pourrait permettre à un hacker de dévoiler le contenu de messages chiffrés. Donc un cauchemar pour les utilisateurs qui comptent sur le cryptage des emails pour protéger leur vie privée.
La vulnérabilité, eFail, survient quand un hacker – qui a déjà réussi à intercepter vos emails cryptés – manipule la façon dont le message va traiter ses éléments HTML. Comme des images ou le style multimédia. Ainsi, le destinataire reçoit le message altéré et son client de messagerie – Outlook, Apple Mail etc. – le décrypte. Et le programme d’email charge également les composants multimédia externes grâce à un canal compromis. Ce qui permet au hacker de saisir le message en clair.

Vous avez un eFail

Pour l‘attaque eFail, les hackers ont d’abord besoin d’avoir un haut niveau d’accès. Ce qui est difficile en soi. En effet, ils ont besoin de pouvoir intercepter des messages cryptés avant de commencer à les lire pour les altérer. PGP est le schéma de chiffrement End-to-end de référence depuis les années 1990, grâce à son standard en open-source OpenPGP. Néanmoins, cela représente beaucoup de travail. Ils ‘agit de garder les data cryptées du moment où elles sont envoyées par l’expéditeur jusqu’à ce qu’elles apparaissent au destinataire. Et l’intérêt de ce travail est de réduire le risque d’attaques d’accès. Même si quelqu’un peut puiser dans vos messages cryptés, les data resteront illisibles. eFail est un exemple d’échec de ces protections secondaires.

La Electronic Frontier Foundation a publié un avertissement stipulant que « les utilisateurs devraient se débrouiller pour utiliser de nouvelles alternatives aux canaux de sécurité end-to-end, comme Signal. Et « temporairement arrêter d’envoyer et surtout de consulter des emails chiffrés en PGP« . Enfin, jusqu’à ce que des correctifs ou autres « atténuation » pour les messageries sortent.

Cela a pu sembler réactionnaire pour quelques cryptographes. En effet, ces derniers affirment que certaines personnes ne peuvent simplement pas passer à d’autres plateformes de chiffrement. Et que chiffrer ses emails est mieux que rien. De plus, ils déclarent que le principal problème est d’abord le manque d’unité dans la sécurité des emails. Et que les problèmes sont ainsi traités au fur et à mesure qu’ils surviennent.

Que faire ?

Pour l’instant, une solution est de patcher vos plugins d’emails chiffrés peu importe quand ces mises à jours sortent. Et de désactiver le plus possible d’images et d’exécutions HTML customisées.

En résumé, vous avez besoin que votre plugin PGP soit configuré pour seulement vous montrer texte d’un message. Et pas un formatage soigné où d’autres médias potentiellement inclus. Néanmoins, les chercheurs d’eFail ont découvert que la plupart des messageries sont trop laxistes lorsqu’ils interagissent avec des serveurs distants. Ainsi, cela signifie que même si vous ajoutez des strictions, vous pourriez de pas contrôler complètement ces interactions. Et avec des serveurs qui seraient potentiellement malveillants…

Des avertissements ignorés

Les chercheurs connaissaient les fondements théoriques de l’attaque eFail depuis les années 2000. Et quelques implémentations du standard Open PGP l’en protégeaient déjà. Depuis que l’attaque se concentre autour de la manipulation de l’HTML personnalisé, les systèmes peuvent et devraient être capables de signaler que l’email que la cible reçoit a été compromis. Le message de vérification d’authentification pour PGP se nomme « Modification Detection Code« . Ainsi, le MDC il indique l’intégrité de l’authentification d’un message. Mais eFail montre que la plupart des messageries vont tolérer des messages avec un MDC invalide ou même manquant. Au lieu de les supprimer pour faciliter la friction entre différentes implémentations PGP.

Dans une déclaration, Werner Koch – le développeur derrière l’implémentation gratuite de PGP GNUPrivacyGuard – a noté que l’adoption du MDC parmi d’autres services de PGP a pris du temps. Ainsi, GNUPrivacyGuard et d’autres sont inquiets quant au trop-plein de disruption pour les utilisateurs. En effet, cela signifierait qu’un MDC manquant résulterait de la suppression du message. Donc au lieu de générer une erreur complète, GNUPrivacyGuard et d’autres implémentations émettent un avertissement. Que la plupart des services de messageries ont choisi d’ignorer.

Des erreurs évitables ?

Le coeur de l’architecture du chiffrement PGP commence vraiment à dater. Et pour que les messageries puissent toujours recevoir ou lire des emails chiffrés envoyés depuis des programmes plus vieux, la plupart des logiciels autorisent des paramètres non-sécurisés. Donc quand un message n’est pas facilement déchiffrable, au lieu d’afficher un message d’erreur, le logiciel va quand même diffuser le message. Ainsi, combinez ça avec d’aires défauts usuels (images, chargement de liens envoyés par l’expéditeur, etc.) et vous obtenez un beau bazar.

La vulnérabilité, et comment la gérer, a provoqué un débat dans la communauté cryptographique. En cause : quelle part du problème réside dans les messageries, par rapport aux problèmes fondamentaux avec les écosystèmes PGP et S/MIME en général. Ainsi, certains affirment que les messageries auraient dû agir sur les mécanismes d’alerte comme MDC. Et d’autres soutiennent que l’interoperabilité a été priorisée au détriment d’une menace connue depuis des années.

Et maintenant ?

Les cryptographes continuent d’analyser la situation. Et certains pensent qu’il devrait être possible de considérer le chiffrement comme preuves des attaques sauvages d’eFail. En effet, il faut scanner à la recherche de manipulations HTML suspicieuses. Et à cause de cette « détectabilité », quelques-uns ont noté que l’attaque eFail n’a pas l’air si attrayante que ça aux yeux des hackers.
Jusqu’à ce que des correctifs ne sortent, et que des scans n’examinent la durée de l’attaque, il faudra un peu de temps. Donc les personnes qui cherchent à se protéger grâce aux emails chiffrés devraient utiliser d’autres types de communications sécurisées. Ou de continuer à utiliser des emails chiffrés, en connaissance de cause. En effet, même si des erreurs arrivent, les utilisateurs devraient plus bénéficier de la coopération de la communauté des emails sécurisés.

Partagez l'article

Partager sur facebook
Partager sur twitter
Partager sur linkedin
Partager sur email