加密变泄密？PGP/GPG和S/MIME漏洞使用户电邮“裸奔”！

近日，Canthink网络安全攻防实验室发现使用电子邮件加密软件中PGP/GPG和S/MIME标准存在一个严重的安全漏洞，这个代号为EFAIL的漏洞如果被利用，将允许攻击者从发送或接受的消息中提取明文内容，目前还没有可靠的修复补丁。

对此，Canthink安全研究员建议用户暂时停止使用OpenPGP和S/MIME，并切换至用于发送加密数据的其他解决方案：急需使用加密来保护其通信通道的用户最好使用支持端到端加密的即时通讯客户端。“EFAIL攻击利用OpenPGP和S/MIME标准中的漏洞以揭示加密电子邮件的明文，简而言之，就是滥用HTML电子邮件的活动内容，例如外部加载的图像或样式，通过请求的URL来渗透明文。“

“要创建这些渗透通道，攻击者首先需要访问加密的电子邮件，例如通过窃听网络流量，入侵电子邮件帐户及服务器、备份系统或计算机客户端，且这些电子邮件可能在几年前便已收集。“

据悉，客户端中的最受欢迎的几款电子邮件加密插件均被查出存在此安全漏洞，其中包括带有Enigmail的Thunderbird，带有GPGTTools的Apple Mail以及带有Gpg4win的Outlook。

Canthink安全研究员表示，“我们建议立即禁用或卸载自动解密PGP加密电子邮件的工具，不过这只是受危害的直接风险过去并被能被更广泛地减轻为止的暂时、保守的权宜之计，而补丁也只有在其可用时才能恢复到之前的配置。”

此外，研究人员还指出，OpenPGP和S/MIME标准需要更新以确保其不受EFAIL攻击，但这需要一些时间。