{"id":235179,"date":"2020-09-06T00:36:00","date_gmt":"2020-09-05T22:36:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=235179"},"modified":"2020-09-06T11:52:04","modified_gmt":"2020-09-06T09:52:04","slug":"schwachstellen-in-mailto-links-entdeckt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/09\/06\/schwachstellen-in-mailto-links-entdeckt\/","title":{"rendered":"Schwachstellen in Mailto-Links entdeckt"},"content":{"rendered":"

Sicherheitsforscher haben in diversen E-Mail-Programmen Schwachstellen entdeckt, die bei Verwendung von Mailto-Links ausgenutzt werden k\u00f6nnen. Hier einige Informationen zu diesem Thema.<\/p>\n

<\/p>\n

Wer jemandem von einer Webseite aus eine E-Mail schicken m\u00f6chte, kann dies h\u00e4ufig direkt mit einem Klick auf die dort ver\u00f6ffentlichte E-Mail-Adresse tun \u2013 schon \u00f6ffnet sich im E-Mail-Programm automatisch das Nachrichtenfenster an den gew\u00fcnschten Empf\u00e4nger.<\/p>\n

Die Sicherheitsforscher Prof. Dr. Sebastian Schinzel und Damian Poddebniak haben nun im Labor f\u00fcr IT-Sicherheit der FH-M\u00fcnster verschiedene E-Mail-Programme unter die Lupe genommen. Dabei stie\u00dfen Sie auf Sicherheitsl\u00fccken bei Verwendung sogenannter Mailto-Links. Hacker k\u00f6nnten dadurch zum Beispiel Zugriff auf verschl\u00fcsselte Nachrichten bekommen.<\/p>\n

Untersuchung von E-Mail-Programmen<\/h3>\n

Prof. Schinzel untersucht gemeinsam mit Wissenschaftlern der Ruhr-Universit\u00e4t Bochum bereits seit 2018 unterschiedliche Sicherheitsl\u00fccken im Kontext von E-Mail-Verschl\u00fcsselungen im Labor f\u00fcr IT-Sicherheit. Dabei geht es um die Sicherheit der Verschl\u00fcsselungstechnologien OpenPGP und S\/MIME, wie sie zum Beispiel von Journalisten und politischen Aktivisten, aber auch von Unternehmen und Beh\u00f6rden eingesetzt werden.<\/p>\n

In der neuesten Studie die Sicherheitsforscher wird ein kreativer und zugleich sehr simpler Angriff untersucht. Sie haben gezeigt, wie erschreckend einfach man sich \u00fcber Mailto-Links den privaten Schl\u00fcssel von Absendern zuschicken lassen kann. Mit diesem privaten Schl\u00fcssel kann man verschl\u00fcsselte OpenPGP- oder S\/MIME-Nachrichten entschl\u00fcsseln.<\/p>\n

Wie genau funktioniert der Angriff?<\/h3>\n

Beim Erstellen eines Mailto-Links auf Webseiten k\u00f6nnen \u00fcber HTML-Befehle bestimmte Inhalte der E-Mail vorgegeben werden. Neben der E-Mail-Adresse des Empf\u00e4ngers und dem Betreff erzwingen manche E-Mail-Programme, eine vorausgew\u00e4hlte Datei anzuh\u00e4ngen und mitzuschicken. Damit das funktioniert, muss der Hacker den exakten Namen der Datei und ihren Speicherort auf dem Computer eines Absenders kennen. Das ist bei den meisten pers\u00f6nlichen Dateien nat\u00fcrlich schwierig herauszufinden. Der private E-Mail-Schl\u00fcssel hingegen hat immer den gleichen Namen und wird \u00fcblicherweise \u00fcber einen Standardpfad auf dem Computer gespeichert.<\/p>\n

F\u00e4llt es nicht auf, wenn man ungewollt einen Anhang mitschickt?<\/h3>\n

Ein aufmerksamer Absender kann das sehen, aber die meisten Leute achten in der Eile einfach nicht darauf \u2013 sie wollen schlie\u00dflich nur schnell und unkompliziert eine E-Mail verschicken. Die Hersteller von E-Mail-Programmen sind daher in der Pflicht, dieses Problem zu beheben. Vorausgef\u00fcllte E-Mail-Adressen und der Betreff sind unproblematisch, aber es sollte gar nicht erst m\u00f6glich sein, Dateianh\u00e4nge in Mailto-Links einzubinden. \"Wir haben die Mailbetreiber vor unserer Ver\u00f6ffentlichung \u00fcber die Sicherheitsl\u00fccke informiert, sodass mittlerweile Updates verf\u00fcgbar sind.\", so der Entdecker Prof. Dr. Sebastian Schinzel.<\/p>\n

Originalpublikation<\/strong>: Quelle<\/a><\/p>\n

Jens M\u00fcller, Marcus Brinkmann, Damian Poddebniak, Sebastian Schinzel, J\u00f6rg Schwenk (2020): Mailto: Me Your Secrets. On Bugs and Features in Email End-to-End Encryption. 2020 IEEE Conference on Communications and Network Security (CNS)<\/em>, DOI: 10.1109\/CNS48642.2020.9162218<\/p>\n","protected":false},"excerpt":{"rendered":"

Sicherheitsforscher haben in diversen E-Mail-Programmen Schwachstellen entdeckt, die bei Verwendung von Mailto-Links ausgenutzt werden k\u00f6nnen. Hier einige Informationen zu diesem Thema.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-235179","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/235179","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=235179"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/235179\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=235179"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=235179"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=235179"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}