16591505/18 - Critique faille affectant S/MIME et PGP

Publié le 15 mai 2018

Une faille, nommée efail présente dans plusieurs implémentations des standards OpenPGP et S/MIME au sein de différents clients de messagerie a été récemment découverte par des chercheurs. L’exploitation de cette vulnérabilité permet dans certaines conditions à un attaquant de déchiffrer un email pourtant protégé par PGP ou S/MIME. La réussite de cette attaque nécessite qu’un attaquant soit en mesure de récupérer la copie d’un mail chiffré. Une fois en possession de celui-ci, il peut créer une version modifiée de cet email, dont le contenu chiffré est compris dans une balise HTML contenant un lien vers un domaine contrôlé par l’attaquant. L’attaquant doit ensuite renvoyer ce mail piégé vers la cible : en l’ouvrant, celui-ci déchiffrera le message et une copie en clair sera envoyée vers le nom de domaine contenu dans la balise HTML, permettant à l’attaquant de le récupérer. Pour plus d’informations sur l’exploitation de la faille efail, veuillez-vous référer à l’article détaillant la vulnérabilité sur le lien suivant : efail.de/efail-attack-paper.pdf. Les chercheurs estiment donc que la correction de cette vulnérabilité devra se faire au sein des spécifications d’OpenPGP et S/MIME afin de parvenir à un résultat uniforme dans toutes les implémentations de ces algorithmes.