Der SigSpoof PGP Bug wurde entdeckt, eine zehn Jahre alte Bedrohung zu sein, dass Hacker jeden Anwender Unterschriften zu fälschen erlaubt und Identität. Dies ist ein seltenen Fall, in dem ein Sicherheitsproblem ist seit vielen Jahren zur Verfügung und die Verwundbarkeit wurde gerade jetzt entdeckt. PGP ist eine der am häufigsten verwendeten Verschlüsselungs-Tools, vorwiegend in E-Mail-Kommunikation verwendet.
CVE-2018-12020: Die Auswirkungen des SigSpoof PGP Bug
PGP ist das bekannteste Verfahren zur Bereitstellung von sicherer Kommunikation durch das öffentlich-private-Key-Verfahren unter Verwendung von. Allerdings scheint es, dass eine zehn Jahre alte Sicherheitslücke wurde in seinem Kern enthält, der gerade entdeckt wurde. Sobald die Sicherheitsgemeinschaft der SigSpoof PGP Fehler praktisch alle wichtigen Software-Werkzeuge und Dienste bekannt gegeben wurden schnell aktualisiert.
Der zur Verfügung gestellte Sicherheitshinweis CVE-2018-12020 zeigt, dass das Paket GnuPG (Das ist die Basis für alle wichtigen Implementierungen) mishandles die ursprünglichen Dateinamen während der Entschlüsselung und Verifizierung Aktionen. Als Folge entfernte Angreifer können die Ausgabe der entsprechenden Operationen fälschen. Nach einem der Experten, die entdeckten die SigSpoof Fehler (Marcus Brinkmann) schrieb, dass die conseuqnces kann verheerend sein. Der GnuPG-Code wird in einer Vielzahl von Dienstleistungen, einschließlich Software-Updates in Linux-Distributionen (für die Pakete zu überprüfen), Sicherungen, Quellcode Mitteilungen und mehr.
Nach dem CVE-2018-12020 Beratungs beeinflussen die SigSpoof PGP Fehler nur die Software, die die ausführliche Option aktiviert hat. Eine Sicherheits der Praxis ist es standardmäßig deaktivieren jedoch einer Reihe von Online-Ratgeber gefunden wurde, es empfehlen.
Die Fehler funktioniert, indem die Metadaten in einer Art und Weise zu verstecken, die die Utility-Anwendungen verursacht es als Ergebnis einer Signaturprüfung zur Behandlung von. Als Ergebnis zeigen die E-Mail-Anwendungen fälschlicherweise, dass die Nachrichten von einer Identität von den Hackern gewählt unterzeichnet. Die erforderlichen Parameter, die die Parodie auszuführen sind nur ein öffentlicher Schlüssel oder die Schlüssel-ID.
Über einen entsprechenden Hinweis bei zwei verschiedenen Gelegenheiten zusätzliche Fehler mit Client-Software verbunden zeigt, dass Hacker die Vorteile der Frage genommen haben könnte. Die erste Gelegenheit zeigt, dass die Kriminellen die Signaturen fälschen kann, wenn die ausführlichen Modus nicht aktiviert ist. Die anderen identifizierten Fehler erlaubt auch die Ausführung von schädlichem Code zusätzlich zu den Spoofing-Operationen.
Alle Benutzer, die Implementierungen von OpenPGP und zugehörigem Code ausgeführt werden sollte mit ihren Lieferanten überprüfen, um zu sehen, ob sie die Verwundbarkeit gepatcht.
Martin Beltov
Martin hat einen Abschluss in Publishing von der Universität Sofia. er schreibt gerne über die neuesten Bedrohungen und Mechanismen des Eindringens Als Cyber-Security-Enthusiasten.
Folge mir: