Versleutelde e-mail onbetrouwbaar door GnuPG probleem
Beveiligingsonderzoeker Gerardo Richarte heeft een probleem in GnuPG ontdekt waardoor kwaadwillende personen met digitaal getekende en versleutelde e-mails kunnen knoeien. Het probleem wordt veroorzaakt door de manier waarop bepaalde e-mail clients met GnuPG ondertekende berichten weergeven. Hierdoor is het niet mogelijk om te bepalen welk gedeelte van het bericht getekend is.
"Het is mogelijk om extra tekst voor of na het gesigneerde of versleutelde OpenPGP bericht te plaatsen, en de gebruiker te laten geloven dat deze extra tekst gesigneerd is" zo waarschuwt het Gnu Privacy Guard team. De applicatie moet dan wel in "streaming mode" gebruikt worden. Hoewel het niet om een beveiligingslek gaat, heeft men toch een update uitgebracht die via deze advisory te vinden is.
Een waarschuwing is op z'n plaats. Het installeren van de update kan ervoor zorgen dat de betreffende e-mail applicatie hier niet mee werkt. "Het updaten van de applicatie is nodig, aangezien dit iets is dat onmogelijk door GnuPG gedaan kan worden" (ISC)
actief hiermee bezig geweest. Onder linux/unix zijn hier wel
handige programma's/tools voor maar onder windows (lees
outlook)...
Op zich is dit probleem trouwens niet echt een ramp.. zeker
niet als je buiten het ondertekenen encrypted verstuurd
waar het gesigneerde deel begint en eindigt.
maar met de manier waarom de mail client het gesigneerde
bericht toont en overige tekst. Deze scheiding is er niet of
slecht en derhalve kan het lijken alsof de overige tekst bij
het gesigneerde hoort.
e-mailberichten die je ontvangt te controleren of de
handtekening wel klopt. Dat was toch de achterliggende reden
van het digitaal ondertekenen van een e-mailbericht?
linux...
werkt perfect.
gratis single user certificaten kan je bv bij thawhte aanvragen:
http://www.thawte.com/secure-email/web-of-trust-wot/wot_does.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
