Naujos GPG saugumo rekomendacijos padeda išspręsti pažeidžiamumą

„GnuPG“, „Wikimedia Commons“

Dar gegužę EFAIL paskelbtas techninis straipsnis paskatino vartotojus nustoti naudoti „GNU Privacy Guard“ (GPG) papildinius, kai jie norėjo užšifruoti el. Kaip ir daugelį atvirojo kodo produktų, kuriuos gamina GNU kūrėjai, GPG plačiai naudoja tie, kurie valdo GNU / Linux darbalaukio ar nešiojamojo kompiuterio aplinkoje, ir dėl to dokumentas buvo labiau susirūpinęs.

„Electronic Frontier Foundation“ taip pat išreiškė susirūpinimą dėl kelių naujų GPG programinės įrangos pažeidžiamumų maždaug per pastarąjį mėnesį, o tai daugeliui „Linux“ saugumo ekspertų priminė šias nuomonę, išsakytą šiame dokumente. Keletas GNU / Linux specialistų nuėjo taip toli, kad tiesiog pasiūlė, kad užšifruoto el. Pašto niekada negalima laikyti saugiu.

Laimei, atvirojo kodo ekspertai neseniai paskelbė kitas rekomendacijas, kurios gali būti naudingesnės tiems, kurie pasikliaudami GPG įrankiais siuntė užkoduotą el. Laišką kitiems GNU / Linux vartotojams. Ekspertai jau ketvirtadienį pareiškė, kad bet kuri pašto programa, kuri pateikia HTML, automatiškai įkelia vaizdus arba be leidimo priima nuotolinę laikmeną, iš tikrųjų sukelia šias spragas. Tačiau problema yra ta, kad, atrodo, daugelis jų nepasinaudojo.

„Enigmail“, populiarus GPG papildinys, sukurtas darbui su „Thunderbird“, gavo atnaujinimą netrukus po to, kai EFAIL ataskaita buvo paskelbta viešai. Nuo birželio 9 d. Daugelis vartotojų, kurie naudoja „Thunderbird“ per „GNU / Linux“, dar neturi įdiegti minėto atnaujinimo, nepaisant to, kad atnaujinimas šiuo metu yra beveik mėnesio senumo. Kadangi šie papildiniai dažnai neatnaujinami, kai atnaujinami saugyklos paketai, tiems, kurie naudoja visus naujausius paketus nuo birželio pradžios „Debian“ ar „Ubuntu“, vis tiek gali kilti pavojus, jei jie neskyrė laiko rankiniu būdu atnaujinti papildinį, net jei jie yra atnaujinamas su visais kitais atnaujinimais.

Naujausiame rekomendacijų sąraše teigiama, kad išjungus HTML atvaizdavimą ir įkeliant vaizdus, ​​bus pašalinta dauguma pažeidžiamumų, kurie iš tikrųjų nėra tiesiogiai susiję su pačiu GPG paketu. Įdomu tai, kad „Engimail“ kūrėjai dabar taip pat pateikia šią rekomendaciją, nes išjungtas HTML palaikymas kartu su šifravimu suteikia daug saugesnę el. Pašto patirtį.

Įdomu tai, kad kadangi užšifruotus el. Laiškus turi skirti būtent užpuolikai, didesnis užšifruotų el. Laiškų, siunčiamų internete, kiekis padėtų sumažinti riziką, kad bet kokie tiksliniai išpuoliai veiks.