Библиотека Интернет Индустрии I2R.ru

Американские специалисты по компьютерной безопасности нашли новый способ расшифровки электронной почты, закодированной с использованием технологии PGP. Как показало совместное исследование ученых Колумбийского университета и компании Counterpane Internet Security, уязвимыми для взлома являются практически все программные реализации алгоритма PGP.

Для расшифровки перехваченного электронного письма необходимо перешифровать его и переслать получателю. Если получатель перешлет перешифрованное сообщение обратно отправившему его злоумышленнику, последний с высокой долей вероятности сможет увидеть текст исходного сообщения. Подробную информацию о новом механизме вскрытия шифров можно найти в опубликованной по результатом исследований статье.

На практике использовать уязвимость достаточно легко. Сначала надо перехватить зашифрованное письмо программой-сниффером и направить получателю, предварительно перешифровав. В результате получатель сообщения получит вместо связного текста полную абракадабру и, скорее всего, попросит переслать письмо еще раз. Если получатель воспользуется для этого кнопкой "Ответить", которая имеется во всех почтовых программах, и вложит в ответное послание текст исходного сообщения (а именно так делается в большинстве случаев), то исходное послание будет расшифровано.

Впрочем, с обнаруженной уязвимостью можно бороться. Например, если в программе PGP включена опция предварительного сжатия текста сообщения, то расшифровать письмо не получится. В то же время при вложении в письмо предварительно сжатого файла, например, zip-архива, PGP-сжатие не задействуется, а расшифровка возможна. Предотвратить взлом шифра можно и с помощью функции проверки целостности шифра, которая, однако, не является обязательной и отсутствует во многих программах, основанных на PGP.

Для борьбы с уязвимостью исследователи рекомендуют задействовать сжатие текста сообщений перед шифрованием, а также внести изменения в стандарт OpenPGP, сделав функции проверки целостности шифра и предварительного сжатия информации обязательными, а не опциональными.