Anzeige

E-Mail

Wer jemandem von einer Webseite aus eine E-Mail schicken möchte, kann dies häufig direkt mit einem Klick auf die dort veröffentlichte E-Mail-Adresse – schon öffnet sich im E-Mail-Programm automatisch das Nachrichtenfenster an den gewünschten Empfänger.

Prof. Dr. Sebastian Schinzel und Damian Poddebniak haben für diese sogenannten Mailto-Links nun bei einigen E-Mail-Programmen Sicherheitslücken entdeckt. Hacker könnten dadurch zum Beispiel Zugriff auf verschlüsselte Nachrichten bekommen. Im Interview erläutert Prof. Schinzel das Sicherheitsrisiko.
 

Prof. Schinzel, was ist das Problem mit Mailto-Links und Verschlüsselungen?  

Prof. Dr. Sebastian Schinzel: Gemeinsam mit Wissenschaftlern der Ruhr-Universität Bochum untersuchen wir im Labor für IT-Sicherheit bereits seit 2018 unterschiedliche Sicherheitslücken im Kontext von E-Mail-Verschlüsselungen. Dabei geht es um die Sicherheit der Verschlüsselungstechnologien OpenPGP und S/MIME, wie sie zum Beispiel von Journalisten und politischen Aktivisten, aber auch von Unternehmen und Behörden eingesetzt werden. In unserer neuesten Studie haben wir einen kreativen und zugleich sehr simplen Angriff untersucht. Wir haben gezeigt, wir erschreckend einfach man sich über Mailto-Links den privaten Schlüssel von Absendern zuschicken lassen kann. Mit diesem privaten Schlüssel kann man verschlüsselte OpenPGP- oder S/MIME-Nachrichten entschlüsseln.


Wie genau funktioniert der Angriff?

Prof. Dr. Sebastian Schinzel: Beim Erstellen eines Mailto-Links auf Webseiten können über HTML-Befehle bestimmte Inhalte der E-Mail vorgegeben werden. Neben der E-Mail-Adresse des Empfängers und dem Betreff erzwingen manche E-Mail-Programme, eine vorausgewählte Datei anzuhängen und mitzuschicken. Damit das funktioniert, muss der Hacker den exakten Namen der Datei und ihren Speicherort auf dem Computer eines Absenders kennen. Das ist bei den meisten persönlichen Dateien natürlich schwierig herauszufinden. Der private E-Mail-Schlüssel hingegen hat immer den gleichen Namen und wird üblicherweise über einen Standardpfad auf dem Computer gespeichert.


Fällt es nicht auf, wenn man ungewollt einen Anhang mitschickt?  

Prof. Dr. Sebastian Schinzel: Ein aufmerksamer Absender kann das sehen, aber die meisten Leute achten in der Eile einfach nicht darauf – sie wollen schließlich nur schnell und unkompliziert eine E-Mail verschicken. Die Hersteller von E-Mail-Programmen sind daher in der Pflicht, dieses Problem zu beheben. Vorausgefüllte E-Mail-Adressen und der Betreff sind unproblematisch, aber es sollte gar nicht erst möglich sein, Dateianhänge in Mailto-Links einzubinden. Wir haben die Mailbetreiber vor unserer Veröffentlichung über die Sicherheitslücke informiert, sodass mittlerweile Updates verfügbar sind.

www.fh-muenster.de


Artikel zu diesem Thema

Cyberangriff
Sep 04, 2020

Die Top 5 Phishing-Angriffe in Deutschland

Phishing-Angriffe boomen. Davon ist nicht nur der einzelne Verbraucher betroffen, auch…

Weitere Artikel

Axel Korda und Patrick Postel

solutions x DILK kooperiert mit VOICE

Ab sofort arbeiten der Hamburger IT-Kongress solutions x DILK und der Bundesverband der IT-Anwender VOICE zusammen. Gemeinsam wollen sie den Kongress für Digitale Transformation weiter ausbauen und besonders die Anwenderperspektive deutlich stärken.
Shutterstock

Shutterstock gründet Tochtergesellschaft und übernimmt KI-Plattformen

Shutterstock, die bekannte Plattform lizenzfreier Fotografien, Vektorgrafiken, Illustrationen, Videos und Musik, gibt heute den Start von Shutterstock.AI bekannt. Die neu gegründete Tochtergesellschaft fokussiert sich auf die Erhebung und Auswertung wichtiger…
Smartphone

Vier von zehn Personen ist schon das Handy verloren gegangen

Fotos, Kontakte, Zugang zum Bankkonto: Verschwindet das Handy, bedeutet das jede Menge Ärger. 4 von 10 der Handy-Besitzerinnen und -Besitzern (40 Prozent) ist genau das schon einmal passiert.
Facebook

Kandidaten-Accounts: Facebook verstärkt Schutz vor Bundestagswahl

Facebook will zur anstehenden Bundestagswahl Kandidaten und Politikern beim Schutz ihrer Accounts helfen.
Lucasfilm

Lucasfilm heuert Deepfake-YouTuber an

Der YouTuber "Shamook" hat nicht nur Fans mit Deepfakes beeindruckt, in denen er etwa Mark Hamills Gastauftritt als Luke Skywalker in "The Mandalorian" besser aussehen lässt. Auch Lucasfilm war von dem optisch nachgebesserten Material offenbar angetan und hat…
Digitalisierung

Die wichtigsten Erfolgsfaktoren bei digitalen Transformationen

Die globale Technologieberatung Thoughtworks hat eine Studie veröffentlicht, die untersucht, wie Unternehmen neue kundenorientierte Technologien entwerfen, aufbauen und warten. Das Beratungsunternehmen Forrester Consulting hat die Studie mit dem Titel „The…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.