[iOS 11] Efail unter iOS

[th3Chris]

Hallo zusammen,

sind die Anwendungen unter iOS von der derzeitigen Lücke auch betroffen ?
Kann man bereits sagen welche der Mail Apps betroffen sind und welche nicht ?
Unter Android betrifft es ja auch nicht jede Mail App.

Info zu Efail:

https://www.heise.de/newsticker/mel...um-sicher-E-Mails-zu-verschicken-4048988.html

https://www.heise.de/security/artikel/PGP-und-S-MIME-So-funktioniert-Efail-4048873.html
https://www.com-magazin.de/news/sicherheit/efail-attacke-umgeht-e-mail-verschluesselung-1537842.html

Via Google habe ich bisher noch nichts eindeutiges gefunden.

 

[Ijon Tichy]

Laut Paper ist Apple Mail voll betroffen. Wenn man allerdings das automatische Laden von externen Grafiken ausschaltet, hat man die größten Löcher gestopft.

Das sind aber keine speziellen Löcher bei Verschlüsselung, sondern das ist ein generelles Problem bei Email, weswegen dieses automatische Nachladen auch grundsätzlich ausgeschaltet sein sollte.

Es ist NICHT zu empfehlen, wegen Efail auf Verschlüsselung zu verzichten. Diese Aussage seitens der EFF ist Kuhmist gewesen.

 

[th3Chris]

Laut Paper ist Apple Mail voll betroffen. Wenn man allerdings das automatische Laden von externen Grafiken ausschaltet, hat man die größten Löcher gestopft.

Das sind aber keine speziellen Löcher bei Verschlüsselung, sondern das ist ein generelles Problem bei Email, weswegen dieses automatische Nachladen auch grundsätzlich ausgeschaltet sein sollte.

Es ist NICHT zu empfehlen, wegen Efail auf Verschlüsselung zu verzichten. Diese Aussage seitens der EFF ist Kuhmist gewesen.

Das laden von externen Grafiken beim Mail Empfang auf manuell zu stellen, ist ja nur die eine Seite der Medaille.
Wenn ich richtig gelesen habe, besteht das Problem eher in der Verschlüsselung S/MIME und OpenPGP.
Das heißt die Entwickler müssen doch hier tätig werden.
Betroffen sind halt Clients die diese Funktionen implantiert haben.

 

[Ijon Tichy]

Die Exfiltration von entschlüsseltem Text funktioniert nur im Zusammenhang mit dem Nachladen externer Inhalte. Die einfachste Variante ist die über HTML-Inhalte und da über das IMG Tag. Andere Ansätze wie CRL bei S/MIME oder das Nachladen von Public Keys bei PGP halte ich für extrem knifflig, zumal der Angreifer dafür auch noch den passenden Server unter Kontrolle bekommen haben muss.

Bin aber für Gegenargumente offen!