icarus时刻:Mozilla Thunderbird在加密SnaFu后在明文中保存OpenPGP键

锁定已经在最新版本中被修补


Mozilla. Thunderbird在过去几个月里度过了纯文本中的一些用户的OpenPGP键 - 但现在已经修补了,这两个错误和补丁修复它所说的 企业技术新闻.

由于Mozilla的自由开源雷鸟电子邮件客户端,在78.8.1版和第78.10.1版之间存在的脆弱性,存在于Mozilla的“低”影响。

追踪为CVE-2021-29956,VULN看到导入的OpenPGP键保存到用户的设备而不加密。因此,本地攻击者可以查看并复制钥匙,允许它们作为据说安全电子邮件的真正发件人构成。

Thunderbird维护者Kai Engert告诉 企业技术新闻:“这是我的个人错误,没有明确测试我的假设。”

几周前,桌面上的一些雷鸟用户电子邮件客户端的端到端加密邮件列表 意识到 在打开程序时,他们能够在不进入主密码的情况下查看OpenPGP加密电子邮件。在Thunderbird中,此类消息仅在验证自己后才可见。

“一旦用户配置了主密码,Firefox / Thunderbird首次需要任何存储的秘密,系统将提示用户输入它,”Engert解释说。 “如果输入正确,对称密钥将被解锁并记住会话的其余部分,并且可以根据需要解锁任何受保护的秘密。”

假设是......的母亲

Engert继续说出了什么问题。这些关键处理过程被重写,意图保持其安全性。在该代码重写之前,Thunderbird处理新导入的OpenPGP键的过程是:

  1. 将密钥导入内存临时区域
  2. 使用用户提供的密码解锁密钥
  3. 将密钥复制到永久存储区域
  4. 使用Thunderbird的自动OpenPGP密码保护密钥
  5. 将秘密密钥的新列表保存到磁盘

Rewrite后,Envert说,新的事件链已成为:

  1. 将密钥导入内存临时区域
  2. 使用用户提供的密码解锁密钥
  3. 使用Thunderbird的自动OpenPGP密码保护密钥
  4. 将密钥复制到永久存储区域
  5. 将秘密密钥的新列表保存到磁盘

发现步骤3和4的更改顺序。

“代码作者(我)和审稿人都认为这将是等同的,”Engert说。 “假设是:将其在将其复制到另一个存储区域时保留对步骤3中的密钥的保护......假设是假的。”

事实上,当钥匙被复制到永久存储时,由于Engert告诉我们的错误,这种保护没有与之旅行 RNP. 软件库,用于Thunderbird和Mozilla的Firefox浏览器来保护OpenPGP键。

Thunderbird版本78.10.2保护错误,后来的电子邮件客户端的版本将被告知,检查sect.gpg是否有任何未受保护的密钥,与Engert添加:“如果找到这样的键,则会转换为受保护的键。“修复的更全面细节 在Bugzilla上使用.

Thunderbird以前使用了Enigmail Addon的实施OpenPGP直到 本土支持在去年8月宣布.

在2020年1月20日莫扎拉将雷鸟移到其主要基金会的子公司,在明显的希望中 增加其占用和商业化。 ®

类似主题


您可能喜欢的其他故事

咬住它的手©1998-2021