Objet: Multiples vulnérabilités dans S/MIME et OpenPGP

Résumé

Le 14 mai 2018, un site internet rendait disponible les détails d'une attaque baptisée EFAIL permettant de compromettre les échanges de courriels sécurisés par les mécanismes S/MIME et OpenPGP.

L'attaque permet à un acteur malveillant d'obtenir la version déchiffrée d'un message protégé par l'un des systèmes de chiffrement S/MIME ou OpenPGP. Pour cela l'attaquant doit être en position d'homme du milieu c'est à dire être capable de lire les échanges courriels entre un expéditeur et un destinataire.

Fuite de données et contenu actif

Une variante de l'attaque EFAIL tire parti des fonctionnalités des clients de messageries qui permettent d'enrichir le contenu textuel d'un courriel en intégrant du HTML ou encore du CSS. Ces éléments additionnels sont désignés comme contenu actif.
Un attaquant en mesure d'intercepter un courriel chiffré pourra ainsi y concaténer certains éléments de ces langages, sans modifier la partie chiffrée. Lors du déchiffrement du message par le client de messagerie le contenu actif sera exécuté et le message clair exfiltré. Cette variante fonctionne sur une minorité des clients de messagerie vulnérables à EFAIL.

Attaque cryptographique

L'autre variante de l'attaque EFAIL exploite les propriétés de malléabilité des chiffrements utilisés par S/MIME et OpenPGP afin de directement modifier le chiffré d'un message sans avoir besoin de disposer des clés cryptographiques. Ces manipulations auront pour objectif d'y ajouter directement le contenu actif malveillant qui, une fois déchiffré, permettra de transmettre les données vers l'extérieur. Cette variante est plus complexe à exploiter mais concerne la majorité des clients de messagerie vulnérables à EFAIL.

Limitations

Bien que l'attaque EFAIL mette à mal le paradigme d'une communication sécurisée de bout-en-bout, les cas d'exploitation ne sont pas triviaux.

L'attaquant doit accéder aux mails chiffrés soit lors d'une interception d'un trafic réseau local, soit via Internet en disposant d'accès à un serveur de relais de messagerie. En fonction du scénario l'attaquant pourra dans certains cas bloquer temporairement le mail et le modifier, ou le copier lors de son transit et rejouer la copie vers la victime une fois altéré.

Il est à noter que la surface d'attaque est corrélée avec le nombre de destinataires d'une communication chiffrée. En effet, chaque destinataire d'un même courriel peut être la cible d'une attaque suivant le principe d'EFAIL.

Contournement provisoire

Le CERT-FR recommande d'appliquer les correctifs fournis par les éditeurs de client de messagerie.

Suivant le délai de mise à disposition de correctifs par les éditeurs, le CERT-FR recommande également l'application des mesures temporaires suivantes.

• Désactiver l'utilisation du contenu actif dans le client de messagerie (HTML, CSS).
• Utiliser une application indépendante du client de messagerie pour pratiquer les opérations de chiffrement et de déchiffrement des courriels. Ces actions peuvent par ailleurs être réalisées dans un environnement distinct et déconnecté du réseau.