ProtonMail: Advies om PGP-plug-ins uit te schakelen gevaarlijk
Het advies om PGP-plug-ins vanwege verschillende kwetsbaarheden uit te zetten is ongerechtvaardigd en kan levens in gevaar brengen, zo stelt de versleutelde e-maildienst ProtonMail. Gisteren maakten onderzoekers twee manieren bekend waardoor ze in bepaalde gevallen de inhoud van versleutelde e-mails kunnen achterhalen.
Hiervoor moet een aanvaller over een versleuteld bericht van het slachtoffer beschikken en vervolgens een e-mail met HTML-opmaak naar het slachtoffer sturen. Als het slachtoffer geen HTML in zijn e-mailclient uitvoert werken de nu gedemonstreerde aanvallen niet. Naar aanleiding van de ontdekking adviseerde de Amerikaanse burgerrechtenbeweging EFF om voorlopig geen gebruik van PGP te maken, de software die voor het versleutelen van e-mails wordt gebruikt.
Volgens ProtonMail, dat naar eigen zeggen niet kwetsbaar is, is dat advies verkeerd. "Advies om PGP-plug-ins uit te schakelen en het niet versleutelen van e-mails zijn volledig ongerechtvaardigd en kunnen levens in gevaar brengen. Het juiste antwoord op kwetsbare PGP-implementaties is niet om te stoppen met PGP, maar om veilige PGP-implementaties te gebruiken. Als een kwetsbaarheid in je besturingssysteem is ontdekt gooi je ook niet de computer weg, maar patch je die", aldus Andy Yen van ProtonMail.
Volgens Yen is PGP tot nu toe nog altijd de beste manier om e-mails te versleutelen en is het wanneer goed geïmplementeerd zowel veilig als betrouwbaar. Om de ontwikkeling van veilige PGP-implementaties verder te helpen heeft ProtonMail besloten om bepaalde veranderingen aan OpenPGPjs door te voeren. Dit is één van de populairste OpenPGP-bibliotheken, die onder andere door Enigmail en Mailvelope worden gebruikt. ProtonMail beheert OpenPGPjs en hoopt door de aanpassingen, zoals het ondersteunen van Authenticated Encryption, voor een veilig PGP-ecosysteem te zorgen.
Dear ProtonMail user,
Over the last few days we have noticed an unusually high number of phishing attempts targeting ProtonMail accounts. To help keep your account safe, we want to remind you of a few security tips:
* All emails sent by ProtonMail (like this one) are always starred by default. If it is not starred, we did not send it, and it is a phishing attempt.
* If you receive a suspicious email containing a link or attachments, do not click the link or open the attachments. Mark it as spam, and future emails from that sender will go to your spam folder.
* ProtonMail will never send you an email with a link asking you to enter your credentials.
* If you are not sure whether an email is legitimate, please do not hesitate to ask us. You can reach us at security@protonmail.ch.
* If you have previously fallen for a phishing email, please immediately change your account password.
Phishing attacks are one of the most common ways to hack an email account. But they are also easy to prevent if you know what to do (and what not to do). For more information about phishing and how ProtonMail keeps you safe, check out this article: https://protonmail.com/blog/prevent-phishing-attacks
Stay safe,?The ProtonMail Team
Het juiste antwoord op kwetsbare PGP-implementaties is niet om te stoppen met PGP, maar om veilige PGP-implementaties te gebruiken. Als een kwetsbaarheid is ontdekt in je besturingssysteem gooi je ook niet de computer weg, maar patch je die"
Ja maar wacht even... als je als "onderzoeker" of "groep" een bug vindt dan ga je natuurlijk niet met een persbericht komen
met "even wachten op de update mensen". Daar scoor je niet meer mee. Nee, drastische maatregelen moet je eisen
zodat de mensen jou kennen als de expert en bovendien nog een 2e communicatie nodig is als alles weer veilig is, en
je WEER aandacht krijgt.
Perberichten over kwetsbaarheden uitbrengen is veel interessanter dan de kwetsbaarheden zelf.
TheYOSH
en kunnen levens in gevaar brengen.
Origineel:
Originele bericht:
https://protonmail.com/blog/pgp-vulnerability-efail/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
