Car-tech

Google, Microsoft e Yahoo correggono la debolezza della posta elettronica grave

Come risolvere La connessione non è privata in Google Chrome

Come risolvere La connessione non è privata in Google Chrome
Anonim

Google, Microsoft e Yahoo hanno rimediato a una debolezza crittografica nei loro sistemi di posta elettronica che potrebbe consentire a un utente malintenzionato di creare un messaggio falsificato che supera una verifica di sicurezza matematica.

La debolezza riguarda DKIM o DomainKeys Identified Mail, un sistema di sicurezza utilizzato dai principali mittenti di posta elettronica. DKIM racchiude una firma crittografica attorno a un'e-mail che verifica il nome del dominio attraverso il quale è stato inviato il messaggio, che aiuta a filtrare più facilmente i messaggi falsificati da quelli legittimi.

Il problema si trova con le chiavi di firma inferiori a 1.024 bit, che possono essere preso in considerazione a causa dell'aumento della potenza del computer. US-CERT ha detto in un comunicato pubblicato mercoledì che la firma di chiavi inferiori a 1.024 bit è debole e che sono state prese in considerazione chiavi fino a RSA-768 bit.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

Il problema è venuto alla luce dopo che il matematico della Florida Zachary Harris ha ricevuto una email da un reclutatore di Google che utilizzava solo una chiave a 512 bit, secondo un rapporto pubblicato mercoledì dalla rivista Wired.

Pensando che potrebbe essere un test intelligente da Google, ha fattorizzato la chiave, quindi l'ha usata per inviare un messaggio falsificato da Sergey Brin a Larry Page, i fondatori di Google.

Non era un test ma in realtà un problema serio, quello in cui le e-mail potevano essere false sarebbe fidato. Secondo lo standard DKIM, i messaggi di posta elettronica con chiavi più brevi di 1.024 bit non vengono necessariamente rifiutati.

Harris ha riscontrato che il problema non era limitato a Google, ma anche a Microsoft e Yahoo, i quali sembravano aver risolto il problema come di due giorni fa, secondo US-CERT. Harris ha detto a Wired che ha trovato chiavi a 512 bit o 768 bit in uso su PayPal, Yahoo, Amazon, eBay, Apple, Dell, LinkedIn, Twitter, SBCGlobal, US Bank, HP, Match.com e HSBC.

Debole le chiavi di firma sono un vantaggio per i criminali informatici. Mirano selettivamente alle persone con e-mail contenenti collegamenti malevoli nel tentativo di sfruttare il software di un computer e installare malware, uno stile di attacco noto come spear phishing. Se un'email contiene la firma DKIM corretta, è più probabile che finisca nella posta in arrivo del destinatario.

US-CERT ha anche avvertito di un altro problema. La specifica DKIM consente al mittente di segnalare che sta testando DKIM nei messaggi. Alcuni destinatari "accetteranno messaggi DKIM in modalità test quando i messaggi dovrebbero essere trattati come se non fossero firmati da DKIM", ha detto US-CERT.

Invia suggerimenti e commenti a [email protected]. Seguimi su Twitter: @jeremy_kirk