Managed hosting door True

Waarschuwing voor lek in PGP-encryptie

Dit artikel delen:
Waarschuwing

Emails en bestanden die versleuteld worden met encryptiesoftware Pretty Good Privacy (PGP) zijn mogelijk toch niet zo goed beveiligd als de naam van die software doet vermoeden. Beveiligingswetenschappers waarschuwen voor een groot lek en publiceren binnenkort de details.

De waarschuwing komt van de Duitse hoogleraar in de computerwetenschappen, Sebastian Schinzel, die op Twitter aan de bel trekt. Schinzel is als security-expert verbonden aan de universiteit van Münster waar hij binnen een Europese onderzoeksgroep de kwetsbaarheden in PGP aantrof.

De Electronic Frontier Foundation (EFF), een non-profitorganisatie op het gebied van mensenrechten en digitalisering, heeft de kwetsbaarheden ingezien en bevestigt dat ze een direct risico vormen voor gebruikers van PGP-encryptie. Zowel emailcommunicatie als de inhoud van berichten en bestanden die al eerder met PGP zijn verstuurd, zijn volgens hen kwetsbaar.

EFF: ‘Om het risico zo klein mogelijk te houden, zijn we met de onderzoekers overeengekomen om de PGP-gebruikers alvast te waarschuwen.’ EFF neemt het advies van de onderzoekers over en roept op om het gebruik van PGP onmiddellijk te staken en tools die automatisch PGP-gecodeerde email decoderen uit te schakelen. Het deelt een aantal handleidingen om tools die PGP gebruiken uit te schakelen. Het gaat onder meer om Thunderbird met Enigmail, Apple Mail met GPGTools en Outlook met Gpg4win.

Politie rolde PGP-netwerk op

"De genoemde stappen zijn een noodoplossing totdat bedrijven meer inzicht hebben in de gevolgen van de kwetsbaarheden voor hun organisatie. "

Als alternatief voor PGP wordt Signal genoemd. Maar critici waarschuwen dat die encryptietool ook niet waterdicht is. Volgens EFF dienen de genoemde stappen als noodoplossing totdat bedrijven meer inzicht hebben in wat de kwetsbaarheden in PGP, die dinsdag worden gepubliceerd, voor hun organisatie betekenen. De details worden dinsdagochtend 15 mei 2018 om zeven uur gedeeld.

PGP wordt onder andere gebruikt door mensenrechtenactivisten, klokkenluiders, journalisten en beveiligingsonderzoekers. De encryptie is ook in trek bij criminelen. In 2016 rolde de politie een crimineel netwerk op dat gebruik maakte van speciaal geprepareerde telefoons waarmee criminelen communiceerden via PGP. 

Details van PGP-aanval

De security-onderzoekers hebben inmiddels de details gedeeld van de aanvalsmethoden op encryptietool PGP (Pretty Good Privacy). In een uitgebreide toelichting gaan ze in op de werkwijze van de cybercriminelen. 

Update: 15 mei 2018. 

x

Om te kunnen beoordelen moet u ingelogd zijn:

Dit artikel delen:

Reacties

Het betref HTML-mails en het naladen van beeldjes. Dat dat een risiko is mag toch bekend zijn.

Er zouden twee nieuwe gaten zijn. Ten eerste zouden S/Mime en PGP onvoldoende rekening houden met de manier waarop mail programma’s met HTML werken. Ten tweede, kan je de sleutel snel genoeg berekenen doordat voorspelbare data meeversleuteld worden (het concept van dit gat is al van voor de Colossus).

Hier is het wat beter beschreven weliswaar in het duits.
https://www.heise.de/forum/heise-Security/Kommentare/PGP-und-S-MIME-So-funktioniert-Efail/heise-was-soll-diese-Art-Berichterstattung/thread-5613827/

Jan, bedoel je deze link?
https://www.heise.de/security/artikel/PGP-und-S-MIME-So-funktioniert-Efail-4048873.html
Ik had de info van:
http://www.sueddeutsche.de/digital/exklusiv-verschluesselte-e-mails-sind-nicht-sicher-1.3978608

Bangmakerij dus. Men heeft dus liever dat u onversleutelde berichten over en weer stuurt zodat men mee kan gluren.

Johan, omnia inaequalis est. En vooral software code is vergankelijk.
Ik zou in bepaalde situaties met bepaalde belangen heel ver wegblijven bij PGP / OpenPGP.

Jouw reactie

LET OP: U bent niet ingelogd. U kunt als gast reageren maar dan wordt uw reactie pas zichtbaar na goedkeuring door de redactie. Om uw reactie direct geplaatst te krijgen moet u eerst rechtsboven inloggen of u registreren

Vul uw naam in
Vult u een geldig e-mailadres in
Vult u een reactie in
Jaarbeurs b.v. gaat zorgvuldig en veilig om met je persoonsgegevens. Meer informatie over hoe we omgaan met je data lees je in het privacybeleid
Als u een reactie wilt plaatsen moet u akkoord gaan met de voorwaarden

Stuur dit artikel door

Uw naam ontbreekt
Uw e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×
Wilt u dagelijks op de hoogte worden gehouden van het laatste ict-nieuws, achtergronden en opinie?
Abonneer uzelf op onze gratis nieuwsbrief.