今朝、iOS および macOS 用の Apple Mail で発見された HTML レンダリングの欠陥について詳細が発表されました。これにより、悪意のある攻撃者が暗号化された電子メールから復号化されたプレーン テキストを導き出すことが可能になりました。
コンピューターセキュリティ教授のセバスチャン・シンゼル氏は昨日、EFAILと呼ばれるこの脆弱性に関する研究論文を発表した。
この脆弱性とは何でしょうか?
簡単に言うと、この脆弱性により、攻撃者は送信者の秘密暗号鍵を必要とせずに、暗号化されたメール（過去に送信された暗号化メールを含む）の平文を解読できるようになります。この攻撃が成功するには、悪意のある第三者が暗号化されたS/MIMEまたはPGPメールを所持している必要があります。
この脆弱性は、特別に細工された画像タグと暗号化された文字列を併用することで実現します。この組み合わせにより、iOSおよびmacOS版Apple Mailは暗号化されたメッセージの内容を復号化します。暗号化されたメールを開くと、クライアントは攻撃者が管理するドメインから指定された画像を読み込みます。これにより、攻撃者は復号されたメッセージのコピーを入手できるようになります。
この問題は、Mozilla の Thunderbird 電子メール クライアントのユーザーにも影響します。
どのくらい深刻なのでしょうか?
ベンジャミン・メイヨー氏は、この欠陥の潜在的な影響について次のように論じています。
この攻撃は、暗号化されたメールを送信した人物に連絡を取ることを前提としています。突然誰かにメールを送信し、サーバーに復号されたコンテンツのストリームを受信させることは不可能です。メールがグループ会話の一部である場合、攻撃者はチェーン内の1人だけを標的にすれば復号できるため、通信が侵害される可能性が高まります。
HTMLレンダリングの問題に加え、研究者らはS/MIME標準仕様自体のより技術的な脆弱性も公開しました。これはAppleのクライアントに加えて、20数種類のクライアントに影響を与えます。長期的には、この脆弱性を包括的に修正するには、基盤となるメール暗号化規格のアップデートが必要になります。
電子フロンティア財団は次のようにコメントした。
EFF は研究チームと連絡を取り合っており、これらの脆弱性が、過去のメッセージの内容が漏洩する可能性があるなど、電子メール通信にこれらのツールを使用している人々に即時のリスクをもたらすことを確認しています。
このバグは、暗号化キーがないとメッセージを解読できないPGP/GPGおよびS/MIMEメール暗号化ソフトウェアを使用しているユーザーにのみ影響します。ビジネスユーザーは、メール通信の盗聴を防ぐために暗号化を利用することがよくあります。
ただし、ほとんどの電子メールは暗号化されずに送信されます。
自分を守る方法
一時的な修正: macOS 上の Apple の Mail から GPGTools/GPGMail 暗号化プラグインを削除します ( /Library/Mail/Bundlesまたは~/Library/Mail/Bundlesから GPGMail.mailbundle を削除します)。
より極端な対策としては、絵文字コンテンツの取得を無効にします。macOSのメールの環境設定で「メッセージ内のリモートコンテンツを読み込む」を切り替え、 iOS のメールの「リモート画像を読み込む」を切り替えます。
Apple はこの重大な欠陥に対する緊急修正を発表すると思われますので、引き続き注目し、このページを監視してください。私たちはあなたに最新情報をお伝えすることをお約束します。
その間、Apple Mail やその他の電子メール クライアントで新たに発見された脆弱性についてどう思うか、下のコメント欄にご意見をお寄せください。
