Er is een beveiligingsupdate voor GPG Suite voor macOS uitgekomen die gebruikers tegen de EFAIL-aanval beschermt waardoor het in bepaalde gevallen mogelijk is om de inhoud van versleutelde e-mails te achterhalen. GPG Suite is software voor macOS om versleuteld te communiceren.

Op 14 mei waarschuwden onderzoekers en de Amerikaanse burgerrechtenbeweging EFF voor de EFAIL-aanval, die gericht is tegen versleutelde e-mail. Wanneer een aanvaller een versleutelde e-mail van het slachtoffer bezit kan die door het sturen van een e-mail naar het slachtoffer in bepaalde gevallen de inhoud van de onderschepte versleutelde e-mail achterhalen. Hiervoor is het wel noodzakelijk dat het laden van remote content / HTML bij het slachtoffer staat ingeschakeld.

De EFF gaf vervolgens het advies om voorlopig te stoppen met het gebruik van PGP, wat voor kritiek van experts zorgde. Vorige week adviseerde de burgerrechtenbeweging echter dat Thunderbird-gebruikers weer versleuteld konden e-mailen, aangezien er een update voor de e-mailclient en de encryptiesoftware Enigmail was uitgekomen. Gebruikers van GPG Suite kregen het advies om te wachten, aangezien de software nog steeds kwetsbaar was.

Nu is er een update voor GPG Suite verschenen die bescherming tegen de EFAIL-aanval biedt. De update zorgt ervoor dat remote content niet in versleutelde e-mails wordt geladen. Wanneer een bericht meer dan één versleuteld onderdeel bevat, zal alleen het eerste deel worden ontsleuteld. Als laatste zullen tekstdelen die niet zijn versleuteld worden geïsoleerd van het versleutelde deel.

Onlangs verscheen macOS 10.13.5 die volgens Apple ook bescherming tegen de EFAIL-aanval biedt, maar de ontwikkelaars van GPG Suite merken op dat ze in korte tijd een aanval ontwikkelden die nog steeds werkt. Om gebruikers van S/MIME te beschermen zijn er daarom specifiek voor S/MIME aanvullende beveiligingsmaatregelen toegevoegd. Gebruikers krijgen het advies om te updaten naar GPG Suite 2018.2.