Mit PGP verschlüsselte eMails im HTML Format sind angreifbar. Dies haben Forscher heute nachgewiesen. Leider sind HTML kodierte Mails sehr verbreitet, obwohl dieses Format ursprünglich eigentlich für das Web und nicht für Mails vorgesehen war. Aber so kann man doch so schön formatierte Mails und anklickbare Links versenden... Eben drum.
Die als #eFail kursierende Sicherheitslücke bezieht sich jedoch wohl nur auf dieses Mailformat und ist vor allem in der Kombination unsichere Mailserver / uralte Mails praktisch gefährlich. Daher lautet die Devise nicht: "PGP ist schlecht also deaktivieren und niemals verschlüsselte Mails versenden" sondern HTML in Mails deaktivieren, und für Admins: Ungesicherte Mailserver absichern. Letzteres gibt es offensichtlich immer noch...
Siehe dazu: spiegel.de, netzpolitik.org, heise.de
Nachrichtenansicht HTML deaktivieren in
• Thunderbird
• Outlook
Monday, 14. May 2018
#efail: PGP in HTML Mails angreifbar
Saturday, 18. November 2006
GnuPG 2.0 freigegeben
GNUPG Logo
GNU Privacy Guard (GnuPG) dient nicht nur zur sicheren Kommunikation und Datenspeicherung. Es kann auch digitale Signaturen erzeugen und Authentifikatiion mittels Secure Shell unterstützen und stellt ein Rahmenwerk für Public-Key-Kryptografie bereit. Es enthält eine Schlüsselverwaltung und ist zu den Standards OpenPGP und S/MIME konform.
Die Architektur wurde in GnuPG 2 gegenüber der früheren Version neu entworfen und verteilt die Funktionalität auf mehrere Module. Wer beide Versionen benötigt, kann dies problemlos tun, ohne dass es zu Konflikten kommt. GnuPG-1 soll in der Lage sein, den gpg-agent von Version 2 zu nutzen. Da GnuPG-1 kleiner als GnuPG-2 ist und keine Abhängigkeiten zu anderen Modulen hat, hält das Entwicklerteam es für sinnvoll, auch diese Version weiter zu pflegen.
Neu in Version 2.0.0 ist der erweiterte gpg-agent, der zum zentralen Ort zur Verwaltung der privaten Schlüssel und Passphrasen wird. gpgsm implementiert die Standards X.509 und CMS und somit auch S/MIME. scdaemon dient zum vereinheitlichten Zugriff auf Smartcards. Auch für den Zugriff auf die Funktionen mit Skripten, Verwendung von Smartcards mit der Secure Shell und einiges mehr ist gesorgt.
GnuPG 2.0.0 kann von den GnuPG-Mirrorservern heruntergeladen werden. Mit der Zeit wird es auch seinen Weg in die Linux-Distributionen finden. Man sollte den Anweisungen zur Verifikation der Integrität des Quellcodes folgen.
Das Projekt akzeptiert Spenden und führt auch Anbieter von Supportverträgen für die Software auf.
Übrigens, mein Key 553B87AF9AAF67F6 ist auf allen PGP Keyservern abrufbar, der Fingerprint ist:
72A3 7A20 C196 A1E3 4922 F512 553B 87AF 9AAF 67F6
Kommentare