Instructions concernant la vulnérabilité du courrier électronique («EFAIL»)

Comme le montrent les récentes couvertures médiatiques, une équipe de chercheurs a montré comment le courrier électronique crypté (S/MIME et OpenPGP) peut être lu en raison d’une vulnérabilité dans le programme de courrier électronique. La vulnérabilité n’affecte pas le chiffrement lui-même ni le serveur de messagerie de HIN, mais les programmes de messagerie que vous utilisez éventuellement.

Comment la vulnérabilité (EFAIL) est-elle exploitée?Pour exploiter «EFAIL», il faut:
  • qu’un attaquant ait accès à l’acheminement du message, au serveur de messagerie ou au compte de messagerie du destinataire pour pouvoir récupérer un message crypté.
  • que l’exécution du code HTML, et en particulier le chargement de contenus externes, soient activés dans le client de messagerie. 
Il existe deux variantes d’attaque:
  • Attaque dite «Direct Exfiltration»

    Il s’agit ici de la variante la plus simple de l’attaque, au cours de laquelle le format du mail est complètement modifié. Le message chiffré est alors empaqueté dans un lien non chiffré.

    Les clients HIN ne sont pas concernés par ce problème via S/MIME, car seuls les courriers électroniques correctement formatés sont déchiffrés. Il est toutefois recommandé de configurer les clients de messagerie dans tous les cas afin que les liens ne soient pas chargés automatiquement. 

  • Attaque dite «CBC/CFB Gadget»

    Cette attaque exploite une faille de conception dans la technologie de cryptage. Le lien est caché à ce propos dans la partie cryptée du message. Un attaquant peut effectuer cette manipulation sur la base de modules de texte techniques résurgents. Comme il s’agit d’un problème général dans la norme S/MIME, il est nécessaire de procéder à une adaptation de la norme.

    Votre HIN Mail Gateway (passerelle de messagerie HIN) signe le courrier électronique sortant et vérifie la signature dans les messages entrants. Actuellement, le courrier électronique non signé ou invalidé est marqué comme étant non sûr par le HIN Mail Gateway, mais n’est pas encore rejeté. HIN examine actuellement si les mesures sont pertinentes à ce niveau.

Le scénario d’attaque exact est décrit par les chercheurs sur le site Web www.efail.de.Important: La vulnérabilité n’affecte pas le chiffrement lui-même ni le serveur de messagerie de HIN, mais les programmes de messagerie que vous utilisez éventuellement.Pour continuer à garantir la sécurité lors de la réception des courriers électroniques, vous devez vous assurer de ce qui suit:HIN recommande généralement de ne pas utiliser le courrier électronique au format HTML pour plus de sécurité dans la communication par courrier électronique. En particulier, l’exécution de contenus actifs, c’est-à-dire l’affichage des courriers électroniques au format HTML et le chargement de contenus externes doivent être désactivés. De cette manière, les utilisateurs empêcheront tout espionnage du texte en clair dans le message via les vulnérabilités EFAIL.Nous vous expliquons ici comment éviter ce chargement dans les programmes de messagerie courants: De quoi un client doit-il s’assurer avec un HIN Mail Gateway?Les établissements avec un Mail Gateway doivent s’assurer que les courriers électroniques cryptés sont également sécurisés pendant leur acheminement. Pour ce faire, l’utilisation de TLS est obligatoire.Opinion de HIN:  HIN partage l’opinion d’autres experts en sécurité, tels que par exemple le Bundesamt für Informatik en Allemagne. Il est toujours possible d’utiliser S/MIME en toute sécurité. Mais pour le moment, les fabricants de clients de messagerie doivent d’abord agir.