Hay que seguir teniendo cuidado con el fallo de PGP y el Apple Mail

Recientemente se ha descubierto que Protonmail se ha visto afectado por un nuevo bug llamado EFAIL. Sebastian Schinzel, profesor de la universidad de Münster avisó de este fallo a través de Twitter alertando a los usuarios y recomendándoles desactivar PGP y S/MIME hasta que se lance un parche que solucione el problema. Tanto OpenPGP como S/MIME son estándares de cifrado de extremo a extremo que habitualmente son utilizados en los correos corporativos de varias empresas.

La vulnerabilidad en cuestión permitiría a un atacante descifrar el texto sin formato de los mensajes enviados y recibidos por la víctima. Este bug se aprovecha del contenido HTML de los correos, ya sean imágenes o configuraciones externas para filtrar el texto plano a través de las URL solicitadas. El atacante en cuestión podría modificar un correo electrónico cifrado de una manera concreta y enviárselo a la víctima, el proveedor de correo de la víctima desencriptaría el e-mail y cargaría cualquier contenido externo proporcionandole así el texto en plano al atacante.

Tweet de Protonmail recomendando no desactivar PGP.

Por desgracia todavía no hay una solución permanente para este bug, pero se recomienda desactivar ambas herramientas de cifrado. La Electronics Frontiers Foundation también ha avisado de este fallo y ha puesto a disposición de los usuarios varios tutoriales en los que se muestra como deshabilitar los complementos de PGP en proveedores de correo como Thunderbird, Apple Mail u Outlook. Por otro lado algunas de las compañías afectadas aseguran que no se trata de un fallo en el protocolo PGP, sino que es un fallo en la implementación del mismo realizada por algunos proveedores de correo y que por lo tanto desactivarlo no es una buena idea.