Jauni GPG drošības ieteikumi palīdz novērst bažas par ievainojamību

GnuPG, Wikimedia Commons

Vēl maijā EFAIL publicētais tehniskais dokuments mudināja lietotājus pārtraukt izmantot GNU Privacy Guard (GPG) spraudņus, kad viņi vēlējās šifrēt e-pastu. Tāpat kā daudzos atvērtā koda produktos, ko ražojuši GNU izstrādātāji, arī GPG plaši izmanto tie, kas GNU / Linux izmanto darbvirsmas vai klēpjdatora vidē, un tas šo dokumentu drīzāk satrauca.

Electronic Frontier Foundation arī ir radījis bažas par vairākām jaunām GPG programmatūras ievainojamībām aptuveni pēdējā mēneša laikā, kas daudziem Linux drošības ekspertiem atgādināja par šiem dokumentā paustajiem uzskatiem. Daži GNU / Linux speciālisti devās tik tālu, ka vienkārši ieteica, ka šifrētu e-pastu nekad nevar uzskatīt par drošu.

Par laimi, atvērtā koda eksperti nesen izlaida papildu ieteikumus, kas varētu būt labāk piemēroti tiem, kas paļāvušies uz GPG rīkiem, lai nosūtītu šifrētu e-pastu citiem GNU / Linux lietotājiem. Eksperti jau ceturtdien paziņoja, ka jebkurš pasta klients, kas atveido HTML kodu, automātiski ielādē attēlus vai bez atļaujas pieņem attālos nesējus, ir tas, kas faktiski rada šīs ievainojamības. Tomēr problēma ir tā, ka, šķiet, daudzi nav tos izmantojuši.

Enigmail, populārs GPG spraudnis, kas paredzēts darbam ar Thunderbird, saņēma atjauninājumu neilgi pēc EFAIL atskaites publiskošanas. Kopš šodienas 9. jūnija daudziem lietotājiem, kuri izmanto Thunderbird GNU / Linux, vēl nav jāinstalē minētais atjauninājums, neskatoties uz to, ka atjauninājums šajā brīdī bija gandrīz mēnesi vecs. Tā kā šie spraudņi bieži netiek atjaunināti, kad tiek veiktas repozitorija pakotnes, tiem, kas kopš jūnija sākuma izmanto visas jaunākās paketes Debian vai Ubuntu, joprojām var būt risks, ja viņi nav izmantojuši laiku, lai manuāli atjauninātu spraudni, pat ja viņi ir aktuāls ar visiem citiem jauninājumiem.

Jaunākajā ieteikumu sarakstā ir norādīts, ka, atspējojot HTML renderēšanu un attēlu ielādi, tiks pārvarēta lielākā daļa ievainojamību, kas faktiski nav tieši saistītas ar pašu GPG pakotni. Interesanti, ka Engimail izstrādātāji tagad izsaka arī šo ieteikumu, jo atspējots HTML atbalsts kopā ar šifrēšanu nodrošina daudz drošāku e-pasta pieredzi.

Interesanti, ka tā kā uzbrucējiem īpaši jāpievērš uzmanība šifrētajam e-pastam, lielāks šifrētu e-pasta ziņojumu daudzums, kas tiek sūtīts internetā, palīdzētu samazināt risku, ka visi mērķtiecīgi uzbrukumi darbosies.