© gajus, 123RF

Sicherheitsforscher finden alarmierende Schwächen bei der Auswertung von Signaturen durch E-Mail-Clients. Die Mehrzahl der Programme fällt bei ihrem Test durch.

Bis vor Kurzem ließen sich digitale Signaturen in vielen E-Mail-Programmen ganz einfach fälschen. Das fanden Sicherheitsforscher der Fachhochschule Münster und der Ruhr-Universität Bochum heraus, die verschiedene Schwachstellen in den Implementierungen der weitverbreiteten E-Mail-Verschlüsselungsstandards S/MIME und Open PGP entdeckt [1] haben.

S/MIME steht für Secure/Multipurpose Internet Mail Extensions. Open PGP ist ein standardisiertes Datenformat für verschlüsselte und digital signierte Daten basierend auf PGP (Pretty Good Privacy). Die Forscher haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) über die Schwachstellen im Rahmen eines Coordinated-Vulnerability-Disclosure-Prozesses informiert [2].

Das von ihnen entdeckte Angriffsszenario zielt auf S/MIME- wie auch PGP-basierte Signaturen von E-Mails ab. Die sollen eigentlich dem Empfänger garantieren, dass die Mail vom angegebenen Absender kommt (Authentizitäts-Prüfung) und nicht bei der Übertragung modifiziert wurde (Integritätsprüfung).

Doch die beschriebenen Attacken rühren nicht etwa von einer Schwachstelle in den verwendeten kryptografischen Verfahren her, sondern hängen vielmehr mit der Implementation in diversen E-Mail-Programmen zusammen.

Die Sicherheitsforscher nutzen für die Attacke verschiedene Angriffsmethoden aus. Von 22 getesteten S/MIME-E-Mail-Programmen konnten sie damit 15 erfolgreich angreifen. Bei den 20 PGP-Systemen ließ sich die Signaturschwachstelle bei 14 ausnutzen.

Ein Angriff gegen S/MIME-Systeme gründet auf dem Wiederverwenden von Signaturen. Damit gelingt es dem Angreifer, eine unsignierte E-Mail als signiert anzuzeigen. Er schickt etwa eine gefälschte E-Mail mit ungültiger Signatur zusammen mit einer zweiten mit gültiger Signatur an sein Opfer. Viele der getesteten E-Mail-Programme zeigen dann die gefälschte Nachricht an, prüfen aber die Signatur der anderen Mail.

Hintergrund dieser Attacke ist, dass sich bei S/MIME-basierten Signaturen der Inhalt einer Nachricht auf zwei Arten in die E-Mail einfügen lässt: Direkt in der Cryptographic Message Syntax (CMS) als so genannter E-Content oder als separater MIME-Teil. Die Forscher fanden nun heraus, dass viele E-Mail-Programme diese beiden Arten nicht korrekt umsetzen und so die beschriebene Attacke ermöglichen.

Fehler auch bei PGP

Open-PGP-Systeme verwenden oftmals GNU PG, um den Open-PGP-Standard umzusetzen. Auch solche Systeme erlauben es einem Angreifer, Signaturen zu fälschen. Ist beispielsweise nur ein Teil einer Open-PGP-Mail signiert, reicht das vielen Mailern schon aus. So kann ein Angreifer eine eigentlich unsignierte Nachricht als signiert darstellen lassen. Via I-Frames lässt sich dieser eingebettete Inhalt auch verbergen.

Die Forscher haben eine ganze Reihe von E-Mail-Programmen gefunden, die für diese Sicherheitslücken anfällig sind. Unter Linux sind Evolution und Trojita angreifbar. Android ist durch K-9 Mail via Open Keychain, R2Mail2, Maildroid mit Flipdog-Plugin und mit der App Nine verwundbar. Ebenso sind die Web-basierten E-Mail-Programme Roundcube (mit Enigma oder RC_SMIME) und Mailpile (mit GNU PG) angreifbar.

Ein Hauptgrund für die Schwachstellen liegt beim Einsatz von HTML in E-Mails. Daher empfiehlt das BSI unter anderem, aktive Inhalte in E-Mail-Clients – dazu gehört HTML – zu deaktivieren.