Um pesquisador disse na quarta-feira que, por toda a sua existência, algumas das ferramentas de criptografia de e-mail mais utilizadas do mundo tornaram-se vulneráveis a hackers que podem usar chaves públicas para enganar a assinatura digital de qualquer pessoa. GnuPG, Enigmail, GPGTools e python-gnupg foram todos atualizados para corrigir vulnerabilidades críticas. A Enigmail e a Simple Password Store também receberam patches para dois bugs relacionados ao spoofing. 　　As assinaturas digitais são usadas para provar a origem das mensagens criptografadas, backups de dados ou atualizações de software. Normalmente, a fonte deve usar uma chave de criptografia privada para que o aplicativo mostre que a mensagem ou o arquivo está assinado. No entanto, uma série de vulnerabilidades conhecidas como SigSpoof tornou possível que, em alguns casos, um invasor falsifique a assinatura como apenas a chave pública ou a ID da chave de alguém, e ambas as vulnerabilidades geralmente são publicadas online. Sem análise forense, os e-mails fraudulentos exibidos na parte superior deste artigo não serão detectados como maliciosos, algo que muitos usuários não podem fazer. 【qqpp.cm】 　　A vulnerabilidade, codificada no CVE-2018-12020, significa que os e-mails de décadas em que muitas pessoas confiam para questões comerciais ou de segurança sensíveis podem, na verdade, ser maliciosos. Também pode afetar o uso de e-mails além da criptografia. 　　Marcus Brinkmann, desenvolvedor de software que descobriu o SigSpoof, escreveu: “As vulnerabilidades no GnuPG são profundas e podem afetar grande parte de nossa infraestrutura principal”. “O GnuPG é usado não apenas para segurança de e-mail, mas também para proteger backups, distribuir atualizações de software e código-fonte em sistemas de controle de versão como o Git.” 　　O CVE-2018-12020 afeta software vulnerável somente quando uma configuração chamada verbose está habilitada, que é usada para eliminar erros ou comportamento inesperado. Nenhum programa vulnerável é longo por padrão, mas uma variedade de configurações altamente recomendadas disponíveis on-line (incluindo, e pode ser ativado. Uma vez que os detalhes estiverem habilitados, a postagem de Brinkmann inclui três ataques de falsificação de prova de conceito separados que são opostos às ferramentas mencionadas anteriormente e possíveis outras. 　　A falsificação oculta metadados em mensagens de e-mail ou outras mensagens criptografadas para que os aplicativos as vejam como resultado de uma operação de verificação de assinatura[qqpp.cm]. Aplicações como Enigmail e GPGTools fazem com que os clientes de e-mail, como Thunderbird ou Apple Mail, mostrem erroneamente que o e-mail foi criptografado e assinado por alguém escolhido pelo invasor. Tudo o que é necessário para falsificar a assinatura é ter a chave pública ou o ID da chave. 　　Os ataques são relativamente fáceis de realizar. Um dos códigos explorados pela vulnerabilidade PoC de Brinkmann é uma falsificação da assinatura digital do desenvolvedor Enigmail Patrick Brunschwig: 　　A segunda utilização é: 　　Brinkman disse à Ars que as raízes do erro remontam ao GnuPG 0.2.2 de 1998, “embora os efeitos variem à medida que mais aplicativos usam o GPG e mudam com o tempo”. Ele divulgou publicamente a vulnerabilidade apenas depois que o desenvolvedor da ferramenta vulnerável foi corrigido. As falhas foram, e foram corrigidas. Quem quiser saber o status de outros aplicativos que usam o OpenPGP deve verificar com o desenvolvedor. 　　A divulgação da vulnerabilidade de quarta-feira ocorreu um mês depois que os pesquisadores descobriram um conjunto diferente de vulnerabilidades que permitiram aos invasores. O indigo, como esses erros são conhecidos, pode ser explorado em vários programas de e-mail, incluindo Thunderbird, Apple Mail e Outlook. 　　Além disso, Brinkmann relatou duas vulnerabilidades relacionadas ao SigSpoof no Enigmail e na Simple Password Store, que também permitem que as assinaturas digitais sejam enganadas em alguns casos. Mesmo se as configurações detalhadas não estiverem habilitadas, isso afetará o Enigmail. Ele também foi corrigido na versão 2.0.7 que acaba de ser lançado. Ao mesmo tempo, permitir que um invasor remoto falsifique a assinatura de arquivos em arquivos de configuração e scripts de extensão pode permitir o acesso a senhas ou a execução de código malicioso. reparação está em andamento.