- Anzeigen -

Sie sind hier: Home » Markt » Hintergrund

E-Mail-Verschlüsselung bleibt sicher


Angriff auf PGP- und S/MIME-Verschlüsselung nutzt Schwachstellen in E-Mail-Clients
TeleTrusT: "Die Darstellung, PGP und S/MIME seien nicht mehr sicher, erweist der IT-Sicherheit einen Bärendienst"

- Anzeigen -





Am 14.05.2018 veröffentlichte ein Team aus Sicherheitsforschern der Fachhochschule Münster, der Ruhr Universität Bochum und der Universität Leuven (Belgien) einen Bericht, der die Sicherheit der Verschlüsselungsstandards PGP und S/MIME in Frage stellt und damit weltweites Aufsehen erregt. Die aufgedeckten Sicherheitslücken (CVE-2017-17688 und CVE-2017-17689) betreffen jedoch nicht die Protokolle selbst, sondern nutzen eine bereits länger bekannte Schwachstelle in E-Mail-Clients, um verschlüsselte E-Mails zu entschlüsseln und dem Angreifer zuzustellen. Die Angriffe sind technisch komplex und benötigen mehrere Schritte zur erfolgreichen Umsetzung.

Erste Voraussetzung für einen erfolgreichen Angriff: Die E-Mail muss bereits in verschlüsselter Form beim Angreifer vorliegen. Hierfür muss er die E-Mails auf dem Transportweg per "Man-in-the-Middle"-Attacke abfangen oder einen Mailserver kompromittiert haben.

Anschließend könnten die Angreifer laut den Autoren des Papers zwei sich ähnelnde Angriffsmethoden anwenden, um E-Mails mit vorhandener PGP- oder S/MIME-Verschlüsselung zu entschlüsseln. Der erste Angriff ist recht simpel auszuführen, dafür aber auf bestimmte Mail-Clients (Apple-Mail, iOS-Mail, Mozilla Thunderbird) und ggf. dort installierte Plugins von Drittanbietern beschränkt. Die zweite Möglichkeit, um PGP- oder S/MIME-verschlüsselte E-Mails auszulesen, besteht aus einer schon länger bekannten Methode zum Extrahieren von Plaintext in Blöcken verschlüsselter Nachrichten. Bei beiden Arten werden die abgefangenen verschlüsselten E-Mails manipuliert.

Wichtig bei diesen beiden Angriffsmethoden ist, dass die Verschlüsselungsmethoden S/MIME und PGP selbst nicht gebrochen werden; vielmehr nutzen sie Schwachstellen in E-Mail-Clients für HTML-Mails aus, um die Verschlüsselungstechniken zu umgehen.

"Die Darstellung, PGP und S/MIME seien nicht mehr sicher, erweist der IT-Sicherheit einen Bärendienst", sagt Oliver Dehning, Leiter der TeleTrusT-AG "Cloud Security" und Geschäftsführer des Cloud-Security-Anbieters Hornetsecurity. "Sie läuft allen Bemühungen zuwider, die Sicherheit des Kommunikationsmittels E-Mail zu erhöhen. Die Empfehlung diverser Sicherheitsforscher nach genereller Deaktivierung von Inhaltsverschlüsselung ist nicht nachvollziehbar. Das Gegenteil ist richtig: E-Mail-Verschlüsselung erhöht die Sicherheit und sollte unbedingt eingesetzt werden."

Auch das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass PGP und S/MIME weiterhin sicher eingesetzt werden können, wenn sie korrekt implementiert und sicher konfiguriert sind. (TeleTrusT: ra)

eingetragen: 18.05.18
Newsletterlauf: 04.06.18

Wettbewerbszentrale: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Amazon muss Jugendschutz beachten

    Bei der Wettbewerbszentrale gingen in den letzten Wochen zahlreiche Beschwerden gegen Anbieter von Spielkonsolen ein. Diese vertreiben Computerspiele mit sogenannten indizierten Spielen. Konkret geht es um das Spiel "Mortal Kombat". Dieses Spiel ist in Deutschland von der Bundesprüfstelle für jugendgefährdende Medien indiziert und es liegt auch eine Beschlagnahme vor. Gleichwohl wird dieses Spiel im Versandhandel und insbesondere bei Amazon angeboten. Nach dem Jugendschutzgesetz dürfen Trägermedien, deren Aufnahme in die Liste jugendgefährdender Medien bekannt gemacht ist, nicht im Versandhandel angeboten oder überlassen werden.

  • Kriminalitätsform Betrug noch effektiver bekämpfen

    Bayerns Innenminister Joachim Herrmann und Justizminister Prof. Dr. Winfried Bausback verstärken gemeinsam den Kampf gegen Betrug im Gesundheitswesen. "Bei der Bayerischen Polizei konzentrieren wir die Ermittlungen im Bereich des Betrugs im Gesundheitswesen bei einem Wirtschaftskommissariat in jedem Polizeipräsidium", kündigte Herrmann an. Prof. Dr. Bausback begrüßte die Zuständigkeitskonzentration auf Seiten der Polizei: "Hierdurch werden fachliche Kompetenz, Erfahrung und technisches Know-how in schlagkräftigen Einheiten gebündelt. Gemeinsam mit unseren seit 2014 bestehenden drei Schwerpunktstaatsanwaltschaften sind das hervorragende Voraussetzungen, um Straftäter, die im Gesundheitswesen auf unser aller Kosten ihr Unwesen treiben, effektiv zu verfolgen."

  • Deutsche Gerichte funktionieren auch auf Englisch

    Auf Initiative Bayerns und anderer Länder behandelte der Bundesrat den länderübergreifenden Gesetzesentwurf zur Einführung von Kammern für internationale Handelssachen. Dort sollen Gerichtsverfahren künftig auch in englischer Sprache geführt werden können. Bayerns Justizminister Prof. Dr. Winfried Bausback hierzu im Bundesrat: "Das deutsche Recht und die deutsche Gerichtsbarkeit werden - zu Recht - weltweit hoch geschätzt. Englisch als Gerichtssprache ist dabei ein wichtiger Faktor, um Deutschland als Standort internationaler Rechtsstreitigkeiten noch besser zu etablieren." Die Verständigung in englischer Sprache sei im internationalen Wirtschaftsverkehr nicht mehr wegzudenken. Aus diesem Grund würden Prozessparteien derzeit häufig einen Gerichtsstand im englischsprachigen Raum wählen.

  • Provisionen bei der Anlageberatung

    Aktueller Bericht des niederländischen Finanzministeriums: Provisionsverbot für Finanzdienstleistungen verbessert Beratungs- und Produktqualität. Sowohl in den Niederlanden, als auch in Großbritannien sind Provisionen seit 2013 verboten. Der vzbv fordert, Provisionen auch in Deutschland zu verbieten. Positive Bilanz nach fünf Jahren Provisionsverbot: In einem aktuellen Bericht stellt das niederländische Finanzministerium Studienergebnisse zur Wirkung des Provisionsverbots vor. Demnach habe sich die Beratungs- und Produktqualität verbessert. Der Verbraucherzentrale Bundesverband (vzbv) fordert, Provisionen auch in Deutschland zu verbieten.

  • Trends: Cloud, Compliance und OT

    Die Bedrohung durch Cyberkriminalität hat im vergangenen Jahr neue Ausmaße erreicht. Angriffe wie NotPetya und Wannacry haben weltweit für Chaos gesorgt. Diese Ransomware-Attacken, also Erpressungssoftware, bei der Angreifer in ein Computersystem eindringen, alle Daten verschlüsseln und dann Lösegeld verlangen, werden auch in Zukunft keine Einzelfälle bleiben. Welche Entwicklungen das neue Jahr außerdem mit sich bringen wird und wie Unternehmen sich darauf vorbereiten, erörtert Dr. Christopher Brennan, Regional Director DACH bei Skybox Security.