沒那麼「優良」——PGP加密郵件的EFAIL漏洞

來自專欄 密碼學與加密技術

不要驚慌！但是現在應該停止使用PGP來處理加密的電子郵件並切換到其他安全通信方式 。

一組研究人員今天發布了一篇論文 ，描述了最流行的電子郵件加密標準PGP（包括GPG）中一類新的嚴重漏洞。這篇新論文包含一個概念驗證漏洞，它可以讓攻擊者利用受害者自己的電子郵件客戶端解密先前獲取的消息，並將解密後的內容返回給攻擊者，而不會提醒受害者。概念驗證只是這種新型攻擊的一種實現方式，在未來的幾天中可能會出現變體。

由於概念驗證的直接性質，這些安全漏洞的嚴重程度，受影響的電子郵件客戶端和插件的範圍以及PGP用戶需要和期望的高級別保護，EFF建議PGP用戶暫停使用這工具，並尋求其他模式的安全端到端通信。

由於我們正在等待安全社區對文章中突出顯示的漏洞的響應，因此我們建議您暫時卸載或禁用PGP電子郵件插件。這些步驟旨在作為暫時的，保守的權宜之計，直到漏洞利用的直接風險已經過去並被更廣泛的社區減輕。由於供應商和評論員開發的解決方案較窄，因此可能會有更簡單的緩解措施，但這是目前最安全的措施。因為將PGP加密的電子郵件發送給未打補丁的客戶端會產生不利的生態系統激勵來打開傳入的電子郵件，其中任何一種都可能被惡意製作以暴露密文給攻擊者。

儘管您可能不會受到直接影響，但加密對話中的其他參與者很可能會受到影響。對於這種攻擊，原始秘密消息的發送者或接收者是否有針對性並不重要。這是因為PGP消息被加密到他們的全部兩個密鑰。

漏洞如何運作

PGP ，代表「優良保密協議(Pretty Good Privacy)」，是菲爾·齊默曼在27年前首次發布的。PGP當時非常具有創新性，它改變了數字通信的隱私保護級別，並為精通技術的用戶提供了對文件進行加密和向他們從未遇到的人發送安全電子郵件的能力。數十年來，其強有力的安全保護了記者，舉報人，持不同政見者和維權人士的信息。雖然PGP現在是一個私有工具，但是一個稱為GNU Privacy Guard（GPG）的開源實現已經在很多環境中被安全社區廣泛採用，並且在OpenPGP網際標準文檔中進行了描述。

電子郵件是一種明文通信媒體，其通信路徑部分受TLS保護。對於依賴數字通信機密性的敵對環境中的人（記者，政治活動家，舉報人......）來說，這可能還不夠。強大的攻擊者如國家機構，已知會竊聽大量人員的電子郵件通信。為了解決這個問題，針對這些強大的攻擊者，OpenPGP專門針對敏感通信提供端到端加密 。S/MIME是電子郵件端到端加密的替代標準，通常用於保護企業電子郵件通信。

EFAIL描述了端到端加密技術OpenPGP和S/MIME中泄露加密電子郵件明文的漏洞。這些漏洞通常能夠在目標打開由攻擊者發送給他們的惡意製作的電子郵件時將電子郵件內容暴露給攻擊者。在這些攻擊中，攻擊者獲得了加密消息的副本，但無法對其進行解密。

EFAIL攻擊利用OpenPGP和S/MIME標準中的漏洞揭示加密電子郵件的明文。簡而言之，EFAIL濫用HTML電子郵件的活動內容，例如外部載入的圖像或樣式，通過請求的URL來滲透明文。要創建這些滲透通道，攻擊者首先需要訪問加密的電子郵件，例如通過竊聽網路流量，危害電子郵件帳戶，電子郵件伺服器，備份系統或客戶端計算機。這些電子郵件甚至可能在數年前收集。

攻擊者以特定的方式更改加密的電子郵件，並將更改後的加密電子郵件發送給受害者。受害者的電子郵件客戶端解密電子郵件並載入任何外部內容，從而將明文泄露給攻擊者。

直接泄出

第一種攻擊是由於郵件客戶端選擇向用戶顯示HTML的細節導致的「直接泄出」攻擊。攻擊者製作一條包含舊加密消息的消息。新郵件的構建方式是郵件軟體將整個解密的郵件（包括捕獲的密文）顯示為未加密的文本。然後，電子郵件客戶端的HTML解析器立即將解密的消息發送或「解密」到攻擊者控制的伺服器。

直接泄出攻擊濫用Apple Mail，iOS Mail和Mozilla Thunderbird中的漏洞直接泄露加密電子郵件的明文。這些漏洞可以在相應的電子郵件客戶端中修復。這種攻擊是這樣的。攻擊者創建一個包含三個正文部分的新的多部分電子郵件，如下所示。第一個是基本上包含HTML圖像標籤的HTML正文部分。請注意，該圖像標記的src屬性用了引號打開，但未閉合。第二個正文部分包含PGP或S/MIME密文。第三個是HTML主體部分，它閉合了第一個正文部分的src屬性。

攻擊者現在將此電子郵件發送給受害者。受害者的客戶端解密加密的第二個正文部分，並將三個正文部分拼接成一個HTML電子郵件，如下所示。請注意，第1行中image標記的src屬性在第4行中關閉，因此該URL跨越了所有四行。

電子郵件客戶端然後將URL編碼為所有不可列印的字元（例如，％20是空格）並請求來自該URL的圖像。由於URL的路徑包含加密電子郵件的明文，因此受害者的電子郵件客戶端會將明文發送給攻擊者。

直接泄出EFAIL攻擊適用於加密的PGP以及S/MIME電子郵件。

CBC/CFB小工具攻擊

其次，我們描述新的CBC/CFB小工具攻擊，它濫用OpenPGP和S/MIME規範中的漏洞來泄漏純文本，通過修改先前捕獲的密文將電子郵件內容泄露給攻擊者。以下是可能的簡單語言的漏洞的一些技術細節：

當你給別人加密一條消息時，它將信息混淆成「密文」，這樣只有收件人可以將其轉換回可讀的「明文」。但是對於一些加密演算法，攻擊者可以修改密文，而其餘的消息仍然會解密回正確的明文。這個屬性被稱為可塑性。這意味著即使他們自己無法閱讀，他們也可以更改您閱讀的信息。

為了解決可塑性問題，現代加密演算法增加了確保完整性的機制，或者確保接收方信息沒有被篡改的屬性。但是OpenPGP標準表示，發送沒有完整性檢查的消息是可以的。更糟糕的是，即使該信息確實帶有完整性檢查，也有已知的方法可以取消該檢查。另外，當檢查失敗時，標準沒有說明該怎麼做，所以一些電子郵件客戶只是告訴你檢查失敗，但是無論如何都要告訴你信息。

下圖描述了S/MIME中CBC小工具的概念。由於CBC操作模式的具體標準，如果攻擊者知道明文，攻擊者可以精確地修改明文塊。S/MIME加密電子郵件通常以「Content-type: multipart/signed」開頭，因此攻擊者至少知道一個完整的明文塊，如（a）所示。然後，她可以形成一個規範的明文塊，其內容全部為零，如（b）所示。我們將塊對X和C 0稱為CBC小工具。在步驟（c）中，她然後重複附加CBC小配件以將圖像標籤注入到加密的明文中。這會創建一個單一的加密正文部分，當用戶打開攻擊者電子郵件時會自行清除其明文。OpenPGP使用CFB操作模式 ，該模式具有與CBC相同的加密屬性，並允許使用CFB小工具進行相同的攻擊。

這裡的區別在於，任何符合標準的客戶都很容易受到攻擊，並且每個供應商都可能做出自己的緩解措施，這些緩解措施可能會或可能不會阻止攻擊。因此，從長遠來看，有必要更新規範以查找和記錄修復漏洞的根本原因的更改。

雖然CBC/CFB小工具攻擊PGP和S/MIME在技術上非常相似，但成功攻擊的要求差別很大。攻擊S/MIME非常簡單，攻擊者可以通過向受害者發送單個精心製作的S/MIME電子郵件來打破多個（在我們的測試中多達500個）S/MIME加密電子郵件。考慮到我們研究的當前狀態，針對PGP的CFB小配件攻擊只有大約三分之一的成功率。原因是PGP在加密之前壓縮了明文，這使猜測已知明文位元組變得複雜。我們認為這不是EFAIL攻擊的根本限制，而更多的是技術問題，並且攻擊在未來的研究中會變得更有效。

第二個漏洞利用了OpenPGP缺乏強制性完整性驗證和內置在郵件軟體中的HTML解析器的組合。如果客戶端沒有完整性驗證，攻擊者可以修改捕獲的密文，使郵件軟體一旦以解密形式顯示修改後的消息，電子郵件客戶端的HTML解析器會立即將解密消息發送或「解密」到伺服器，攻擊者控制。為了確保安全，如果完整性檢查沒有檢出，軟體不應該顯示密文的明文形式。由於OpenPGP標準沒有指定如果完整性檢查沒有檢出該怎麼辦，所以某些軟體無論如何都會錯誤地顯示該消息，從而使此攻擊有效。

這意味著攻擊者不僅可以在您打開電子郵件時訪問加密郵件的內容，還可以使用這些技術訪問您發送的任何加密郵件的內容，只要它們有一個密文副本。

解決方法

現在有可能修復的是允許消息泄漏的特定漏洞：即，如果完整性檢查沒有檢出，則比標準說明不渲染消息要好。更新協議並修補易受攻擊的軟體應用程序將解決此特定問題。

完全解決這個問題需要時間。一些軟體補丁已經開始推出，但每個受影響軟體的每個用戶都是最新的，甚至在更新標準之前還需要一段時間。目前，信息安全研究人員和基於OpenPGP系統的編碼人員正在研究這篇研究論文，以確定這個缺陷的範圍。

我們處於一個不確定的狀態，很難承諾用戶可以期待PGP的保護級別，在不用快速變化和日益複雜的指令和警告的情況下。PGP的使用總是很複雜且容易出錯; 有了這個新的漏洞，目前幾乎不可能就如何在現代電子郵件客戶端中使用它提供簡單可靠的說明。

也很難告訴人們在電子郵件中永久不再使用PGP。沒有其他電子郵件加密工具具有採用級別，多種實施方式和開放標準支持，這將允許我們推薦它作為PGP的完全替代品。（領先的替代方案S/MIME存在相同的問題，並且更容易受到本文中描述的攻擊的影響）。然而，還有其他端到端的安全消息工具可提供類似的安全級別： 例如 ，Signal 。如果您在這個不確定時期需要安全通信 ，我們建議您考慮這些替代方案。

緩解措施

以下是一些預防EFAIL攻擊的策略：

• 短期：不在電子郵件客戶端中解密。防止EFAIL攻擊的最佳方法是僅在您的電子郵件客戶端以外的單獨應用程序中解密S/MIME或PGP電子郵件。首先從您的電子郵件客戶端中刪除您的S/MIME和PGP私鑰，然後通過將密文複製並粘貼到單獨的應用程序中對您進行解密來解密傳入的加密電子郵件。這樣，電子郵件客戶端就無法打開泄出通道。這是目前最安全的選擇，其缺點是會涉及更多流程。
• 短期：禁用HTML渲染。EFAIL攻擊濫用活動內容，主要以HTML圖像，樣式等形式出現。禁用在您的電子郵件客戶端中顯示傳入的 HTML電子郵件將關閉攻擊EFAIL的最顯著方式。請注意，電子郵件客戶端中還有其他可能的與HTML無關的反向通道，但這些反向通道更難以利用。
• 中期：修復。一些供應商將發布修補EFAIL漏洞或使其更難以利用的補丁。
• 長期：更新OpenPGP和S/MIME標準。EFAIL攻擊利用MIME，S/MIME和OpenPGP標準中的缺陷和未定義行為。因此，標準需要更新，這需要一些時間。

我們需要做得比"優良"更好

研究人員在PGP中利用的缺陷多年來被認為是標準中的一個理論弱點 - PGP許多最初的在其長期的發展中意義重大的小問題之一。

您可能會對PGP的未來，強大的加密以及電子郵件的長期可行性展開激烈的爭論。許多人將今天的啟示作為一個機會來突出PGP關於可用性和複雜性的諸多問題，並要求更好。他們沒有錯：我們的數字世界現在比以往任何時候都需要一個支持良好，獨立，堅如磐石的公鑰加密工具。同時，真正需要強大的隱私保護的相同目標人群將會再次等待安全地使用電子郵件的步驟。

我們發布最新公告，作為對信息安全和電子權利社區所有人的警示：不要對PGP及其專業，孜孜不倦，基本沒有資金的開發人員和支持者進行指責或批評，而是團結和工作共同重塑成為21世紀最佳隱私工具的意義。在EFF暫時停止使用PGP（並且建議您也這樣做）的同時我們將支持獨立的強大加密，無論是來自重新生成的PGP還是來自整合和調整新一代強大的通用加密工具。我們還將繼續努力，通過諸如STARTTLS Everywhere等舉措來提高電子郵件生態系統的總體安全性。

PGP目前的形式為我們提供了很好的服務，但「優良保密」已經不夠了。從現在開始，我們都需要為真的好的保密而努力。

EFF的建議： 暫時禁用或卸載PGP電子郵件插件 。不要解密您收到的加密PGP消息。相反，使用基於非電子郵件的消息平台（如Signal）來滿足您的加密消息傳遞需求。使用離線工具解密您以前收到的PGP消息。在我們的Surveillance Self-Defense網站上查看有關客戶端更新和改進的安全郵件系統的更新。

FAQ

什麼是PGP和S/MIME加密？

這兩項技術都為您的電子郵件通信增添了一層安全保障。如果使用得當，兩種技術都應該保證電子郵件的機密性和真實性，即使攻擊者可以完全訪問您的電子郵件帳戶。EFAIL攻擊破壞了這個額外的加密層。

什麼是EFAIL攻擊？

EFAIL攻擊通過強制客戶將完整的電子郵件明文發送給攻擊者來破壞PGP和S/MIME電子郵件加密。

EFAIL是否存在CVE？

是的，CBC/CFB小工具攻擊有兩個官方CVE編號：

• CVE-2017-17688: OpenPGP CFB gadget attacks
• CVE-2017-17689: S/MIME CBC gadget attacks

不同的供應商為與EFAIL相關的特定安全問題分配了更多的CVE，例如直接泄出攻擊。

這些漏洞是什麼？

研究人員表現出兩種令人擔憂的攻擊：

• 「直接泄出」攻擊：這利用了郵件客戶端如何選擇向用戶顯示HTML的細節。攻擊者製作一條包含舊加密消息的消息。新郵件的構建方式是郵件軟體將整個解密的郵件（包括捕獲的密文）顯示為未加密的文本。然後，電子郵件客戶端的HTML解析器立即將解密的消息發送或「泄出」到攻擊者控制的伺服器。
• 密文修改攻擊：第二個攻擊濫用了OpenPGP標準中的某些細節的未詳細規定，通過修改先前獲得的加密電子郵件將電子郵件內容泄露給攻擊者。這第二個漏洞利用了OpenPGP缺乏強制性完整性驗證和內置於郵件軟體中的HTML解析器的組合。如果客戶端沒有完整性驗證，攻擊者可以修改捕獲的密文，使郵件軟體一旦以解密形式顯示修改後的消息，電子郵件客戶端的HTML解析器會立即將解密消息發送或「泄出」到攻擊者控制的伺服器。為了確保安全，如果完整性檢查沒有檢出，軟體不應該顯示密文的明文形式。由於OpenPGP標準沒有指定如果完整性檢查沒有檢出該怎麼辦，所以某些軟體無論如何都會錯誤地顯示該消息，從而使此攻擊有效。此外，如果配合適合上下文的滲出通道，這種攻擊方式可能不限於HTML格式的電子郵件的上下文。

我們有更多關於漏洞細節和緩解細節的細節。

誰受到影響？

記者，政治活動家或舉報人使用額外的加密層，通常是PGP，因為他們擔心有人可以訪問他們的電子郵件通信。EFAIL攻擊可以用來破壞這個額外的加密層。這導致任何人都可以訪問他們的電子郵件通信也可以閱讀受害者的電子郵件，即使他們使用額外的PGP加密。相同的攻擊適用於通常用於企業基礎架構的S/MIME。

你能讀取我的電子郵件嗎？

不。EFAIL攻擊要求攻擊者可以訪問您的S/MIME或PGP加密電子郵件。因此，只有當攻擊者已經有權訪問您的電子郵件時才會受到影響。但是，PGP或S/MIME加密的目標是防止此類攻擊者。對於依賴PGP和S/MIME加密的用戶來說，EFAIL攻擊可能是一件大事！

攻擊者可以讀取我之前的電子郵件嗎？

如果以前電子郵件的PGP加密內容通過此攻擊發送給您新的電子郵件，並且您在啟用了PGP軟體的未打補丁電子郵件客戶端中打開該電子郵件，則可以被攻擊者讀取。為了查看您的加密電子郵件存檔，我們建議使用命令行。

如果我繼續接收PGP電子郵件會怎麼樣？

您可以通過命令行解密這些電子郵件。如果您不願意，請通知您的聯繫人，PGP暫時不再安全地用於電子郵件客戶端，並決定對話是否可以通過另一個端對端加密平台（如Signal）繼續進行。

我的電子郵件客戶受到影響嗎?

我們的分析顯示，35個受測試S/MIME電子郵件客戶端中的25個和28個受測試OpenPGP電子郵件客戶端中的10個存在EFAIL明文泄出通道。雖然有必要更改OpenPGP和S/MIME標準以可靠修復這些漏洞，但Apple Mail，iOS Mail和Mozilla Thunderbird的實施漏洞更為嚴重，允許直接泄出明文，這在技術上很容易執行。

我能否查明我是否已經遭到襲擊？

不確定。您當然可以在收件箱中搜索指示EFAIL攻擊的惡意電子郵件。例如，對這些攻擊的強烈指示可能是帶有未封閉的img標籤的畸形電子郵件，其後是加密的內容，或將明文泄出到外部URL的加密的內容。但是請注意，電子郵件是使用發件人的密鑰以及所有接收方加密的。攻擊者可以將任何這些方作為目標以泄露對您而言很重要的內容。在攻擊者控制電子郵件伺服器的高級攻擊情況下，她可能在受害者處理後刪除了惡意電子郵件。

但我的電子郵件是TLS加密的！

TLS是一種傳輸層加密技術，用於加密電子郵件客戶端和電子郵件伺服器之間或兩個電子郵件伺服器之間的網路流量。但是，電子郵件在伺服器和電子郵件帳戶中以明文處理和存儲。任何攻擊者通過損害電子郵件帳戶或電子郵件伺服器訪問這些電子郵件都可以閱讀和更改這些電子郵件。PGP和S/MIME用於保護電子郵件的機密性和完整性，以防攻擊者可以訪問電子郵件。

我不發送HTML電子郵件。我安全嗎？

否。攻擊者可以將加密文本/僅電子郵件更改為HTML電子郵件。您需要禁用查看 HTML電子郵件以增強對EFAIL攻擊的防護。

我在我的電子郵件客戶端中禁用了HTML。我現在安全嗎？

看情況。使用所有收件人和發件人的公鑰對S/MIME或PGP加密電子郵件進行加密。只要一個參與者易受攻擊，攻擊者就可以執行EFAIL攻擊。為了防止EFAIL攻擊，所有參與者都必須使用安全的電子郵件客戶端。

關閉發送HTML電子郵件不會阻止這種攻擊。對於某些已公布的攻擊，關閉查看HTML電子郵件可能會阻止您的郵件被泄漏給攻擊者。但是，由於PGP電子郵件已加密給發件人和每個收件人，因此它不會保護這些郵件不會被您與之通信的其他人泄露。此外，關閉HTML電子郵件可能無法保護這些郵件免受未來發現的攻擊，這些攻擊是基於當前漏洞的。

關閉閱讀HTML電子郵件，同時仍然發送PGP加密消息，鼓勵其他人閱讀這些與他們自己的潛在易受攻擊的客戶端。這促進了一個生態系統，將這些消息的內容（以及任何過去被他們解密的消息）置於危險之中。

簽名會阻止這些攻擊嗎？

不會。PGP和S/MIME電子郵件將顯示在電子郵件程序中，而不管它們是否已簽名或現有簽名是否有效。即使簽名確實很重要：攻擊者可以將更改後的密文複製到單獨的電子郵件中，並使用自己的名字創建有效的簽名。

當我丟失我的私鑰時，你能解密我自己的加密電子郵件嗎？

不。EFAIL攻擊針對的是擁有私鑰並在電子郵件客戶端中解密我們準備好的電子郵件的受害者。如果私鑰丟失，EFAIL攻擊將無助於恢復加密的郵件。

我是否需要撤銷證書或公鑰？

不。使用EFAIL攻擊，攻擊者可以檢索加密的OpenPGP和S/MIME消息的明文。她不直接訪問私鑰。

我使用OpenPGP或S/MIME加密數據，我不會在電子郵件上下文中解密它。我安全嗎？

現在是。儘管我們還沒有看過，但可能有邊緣案例。例如，如果您使用敏感文件加密目錄，攻擊者可能會更改這些加密文件以包含虛假信息甚至惡意軟體。如果受害者解密目錄並打開任何文件，惡意軟體甚至HTML文件都可能被用來泄露明文甚至危害系統。

如果加密電子郵件中有引號，會發生什麼情況？

明文中的引號可能會結束用於泄出明文的URL，以至引號後的位元組不會被泄露，或者漏洞可能根本不起作用。由於CBC和CFB操作模式的特性，攻擊者可以將單個S/MIME或PGP密文拆分為多個部分，並使用單獨的HTML標籤（但仍在一封電子郵件中）獨立地進行滲透。如果一部分包含引號，那麼只有該部分中的殘餘明文位元組丟失。儘管存在這些技術障礙，攻擊者仍然可以使用一大堆技術來滲透全明文。

誰受到影響，我為什麼要關心？

由於PGP被用作通信工具，因此使用未打補丁的客戶端向其他人發送消息也會使您的消息處於危險之中。將PGP消息發送給其他人也會增加他們轉向易受攻擊的客戶端解密這些消息的風險。直到足夠的客戶端得到可靠的修補，發送PGP加密的消息可能會給其他人解密這些消息帶來不利的生態系統激勵。平衡繼續使用PGP的風險可能會非常棘手，並且將嚴重依賴於您自己和您的聯繫人的情況。

我使用通過PGP簽名驗證的軟體。它可以被信任嗎？

可以！驗證使用PGP簽名的軟體不容易受到此類攻擊。實施簽名驗證的包管理系統（如Linux的某些發行版）也不受影響。

該文件關於我的電子郵件客戶端說了什麼？

某些電子郵件客戶端受到的影響比別的更多，而這些客戶端背後的團隊正在積極致力於緩解所提出的風險。該論文描述了主要電子郵件客戶端的直接泄出（表4，第11頁）和反信道（表5，第20頁）。即使您的客戶端修補了當前的漏洞，也可能會發生新的攻擊。

但我的電子郵件軟體不在受影響的列表中。我應該在乎嗎？

雖然您可能不會受到直接影響，但加密對話中的其他參與者可能會受到影響。對於這種攻擊，發送者或原始秘密消息的任何接收者是否是針對的並不重要。這是因為PGP消息被加密到他們的每個密鑰。

將PGP消息發送給其他人也會增加您的收件人轉向易受攻擊的客戶端解密這些消息的風險。直到足夠的客戶端得到可靠的修補，發送PGP加密的消息可能會給其他人解密這些消息帶來不利的生態系統激勵。

這是否意味著PGP被破壞？

底層OpenPGP標準（特別是OpenPGP缺乏強制性完整性驗證）的弱點導致了文中給出的攻擊之一。儘管有其先前存在的弱點，OpenPGP仍然可以在一定的限制範圍內可靠地使用。當使用PGP對靜態文件進行加密或解密時，或者通過嚴格的簽名檢查來驗證軟體時，PGP仍然按照預期行事。

OpenPGP還使用如SHA-1的底層加密原語，這些原語不再被認為是安全的，並且缺乏經過身份驗證的加密（AE）的好處，並且簽名可以從消息中簡單地刪除。隨著時間的推移，將需要開發更新的標準來解決規範中的這些更基本的問題。不幸的是，引入修復來引入認證加密而不旋轉密鑰以嚴格執行使用限制將使OpenPGP容易受到向後兼容性攻擊。這將必須在未來的任何標準中解決。

總之，OpenPGP在一定程度上可以被信任。對於敏感通信的長期安全性，我們建議您遷移到另一個端到端加密平台。

我應該怎樣處理我的電腦上的PGP軟體？

一般來說，保持系統上的PGP（或GPG）應該不受已知漏洞的威脅，只要它與上述電子郵件斷開連接。一些Linux系統依靠GPG進行軟體驗證，PGP對於手動驗證軟體仍然有用。卸載PGP軟體可能會使您的密鑰無法訪問，並且在某些情況下也會阻止您解密過去的消息。

展望未來，我應該注意什麼？

我們將在未來幾周密切關注這個問題。電子郵件客戶端和PGP插件的作者正在積極努力修補此漏洞，因此您應該期待即將發布的更新。

是否有發送端到端加密消息的替代方法？

電子郵件中沒有安全的，經過審核的PGP替代品。

但是，還有其他端到端安全消息傳遞工具可提供類似的安全級別：例如Signal。如果您在這個不確定時期需要安全通信，我們建議您考慮這些替代方案。

我沒有其他端到端的加密消息選項可用。PGP是我唯一的選擇。我還能使用它嗎？

不幸的是，我們不建議在電子郵件客戶端中使用PGP，直到它們已經在您的設備和收件人的設備上進行了修補。這些補丁的時間表因客戶端而異。我們建議從您的電子郵件客戶端斷開PGP，直到適當的緩解措施發布。

我有一個可用的選擇，但是我不想使用命令行。你不能推薦別的嗎？

在如此短的時間內評估新的軟體配置非常困難。一些電子郵件客戶端比其他電子郵件客戶端更容易受到此攻擊。但是，使用這些電子郵件客戶端可能會使其他人處於危險之中。我們建議使用命令行解密存檔的電子郵件，並轉移到另一個端對端平台進行對話，至少在我們確信PGP電子郵件生態系統已恢復到以前的安全級別之前。

我只在命令行中使用PGP。我受到了影響嗎？

是且不是。正如我們目前所了解的那樣，如果您僅將PGP用於文件加密而沒有電子郵件，則不存在將文件內容發送給攻擊者的已知滲透通道。但是，根據特定PGP軟體的實施者如何選擇做的事情，內容可能仍然在傳輸過程中進行了您看不到的修改。這是由於漏洞的完整性降級。

此外，如果您使用PGP加密通過電子郵件發送的郵件，並且收件人使用易受攻擊的電子郵件客戶端，則您的通信可能會解密。由於許多人可能使用電子郵件客戶端訪問PGP加密的電子郵件，因此與收件人一起澄清他們也已在其電子郵件客戶端中禁用PGP或使用未受影響的客戶端很重要。

如果您必須繼續使用敏感通信，我們強烈建議切換到經過檢查的端到端加密工具。

原文

• Not So Pretty: What You Need to Know About E-Fail and the PGP Flaw
• EFAIL
• PGP and EFAIL: Frequently Asked Questions
• Efail: Breaking S/MIME and OpenPGP Email Encryption using Exfiltration Channels [v0.9 Draft]

推薦閱讀：