安全业者攻破OPENPGP与S/MINE邮件端到端加密协议

欧盟地区的安全研究人员日前发布警告称其团队已成功攻破邮件领域OPENPGP 与S/MINE 端到端加密标准。

即可利用漏洞将已经加密的邮件内容直接解密成明文内容，而全球顶级的在线邮件服务商中全部都受到影响。

最初安全业者通过 CBC/CFB 工具将恶意命令添加到加密的邮件，然后使用反向回传通道取得解密后的明文。

此攻击流程在过去主要会被用来收集未被加密的邮件，只要收信人解密黑客特制的恶意邮件即可触发其命令。

实际攻击场景：

安全业者称在实际攻击场景里黑客先通过 MITM 中间人攻击收集SMTP/IMAP邮件服务器的账号或其他邮件。

接着通过适当的可塑性工具用来处理这些加密内容，包括猜测用户使用的操作系统、邮件提供商品牌和软件。

之后再将加密邮件回寄给寄件人或者是收件人，对方在收到邮件后就会自动解密此前已经被解密的加密邮件。

最后解密后的内容通过黑客加载的恶意指令将其发送到黑客控制的邮件或者是服务器，以完成整个攻击流程。

需社区和开发商共同修复：

对于OPENPGP与S/MIME 本身存在的问题自然需要该标准的制定社区尽快讨论新标准后升级标准公布即可。

而各个在线邮件提供商则需要修复自家软件环境中的薄弱环节，例如关闭HTML超链接自动预加载功能等等。

同时在修复前暂时不要再邮件客户端通过OPENPGP与S/MIME 协议解密邮件，防止泄露邮件中的重要内容。