Hoy en día el uso de PGP y S/MIME para poder proteger correos con información confidencial o importante, es ampliamente utilizado por muchos usuarios en todo el globo, esto con el objetivo de que los correos electrónicos no sean interceptados por terceros.
Un equipo europeo de seguridad ha revelado una vulnerabilidad grave en PGP y S/MIME que permitiría a un atacante poder revelar el contenido de un correo encriptado. Adicionalmente se indica que la falla también afectaría a los correos que has enviado en el pasado.
PGP (Pretty Good Privacy) es una herramienta de código libre, que es ampliamente utilizada para poder cifrar correos electronicos end-to-end, cosa de que ningún tipo de organismo tanto gubernamental o privado pueda leer el contenido de ese correo electrónico. S/MIME (Secure/Multipurpose Internet Mail Extension) es un sistema asimétrico de cifrado de correo.
We'll publish critical vulnerabilities in PGP/GPG and S/MIME email encryption on 2018-05-15 07:00 UTC. They might reveal the plaintext of encrypted emails, including encrypted emails sent in the past. #efail 1/4— Sebastian Schinzel (@seecurity) 14 de mayo de 2018
Sebastián Schinzel, Profesor de Seguridad informática de Münster University, indicó mediante su cuenta de Twitter esta falla, e indica que no existen parches liberados que permitan solucionar la vulnerabilidad.
La EFF (Electronic Frontier Foundation) confirmo la existencia de vulnerabilidades "no informadas", por tanto recomienda la desinstalación de PGP y S/MIME lo antes posible hasta que no se libere un parche que solucione la problemática.
La EFF adicionalmente indicó a los usuarios que des-habilitaran inmediatamente las extensiones que tengan como finalidad la encriptación de los correos electrónicos como:
"EFF ha estado en comunicación con el equipo de investigación y puede confirmar que estas vulnerabilidades representan un riesgo inmediato para quienes utilizan estas herramientas para la comunicación por correo electrónico, incluida la exposición potencial de los contenidos de los mensajes anteriores", dijo la organización en su blog.
La EFF adicionalmente indicó a los usuarios que des-habilitaran inmediatamente las extensiones que tengan como finalidad la encriptación de los correos electrónicos como:
- ThunderBird con Enigmail
- Apple Mail con GPGTools
- Outlook con GPG4win
