คำแนะนำด้านความปลอดภัย GPG ใหม่ช่วยในการประเมินความกังวลของช่องโหว่

GnuPG, Wikimedia Commons

ย้อนกลับไปในเดือนพฤษภาคมเอกสารทางเทคนิคที่เผยแพร่โดย EFAIL สนับสนุนให้ผู้ใช้หยุดใช้ปลั๊กอิน GNU Privacy Guard (GPG) เมื่อต้องการเข้ารหัสอีเมล เช่นเดียวกับผลิตภัณฑ์โอเพ่นซอร์สจำนวนมากที่สร้างโดยนักพัฒนา GNU GPG ถูกใช้อย่างกว้างขวางโดยผู้ที่ใช้ GNU / Linux ในสภาพแวดล้อมเดสก์ท็อปหรือแล็ปท็อปและสิ่งนี้ทำให้กระดาษค่อนข้างเกี่ยวข้อง

Electronic Frontier Foundation ได้แจ้งความกังวลเกี่ยวกับช่องโหว่ใหม่ ๆ ในซอฟต์แวร์ GPG ในช่วงเดือนที่แล้วซึ่งได้เตือนผู้เชี่ยวชาญด้านความปลอดภัยของ Linux หลายคนเกี่ยวกับมุมมองเหล่านั้นที่แสดงในเอกสาร ผู้เชี่ยวชาญ GNU / Linux บางคนไปไกลถึงเพียงแค่แนะนำว่าอีเมลที่เข้ารหัสจะไม่ถือว่าปลอดภัยอย่างแท้จริง

โชคดีที่ผู้เชี่ยวชาญโอเพนซอร์สได้ออกคำแนะนำเพิ่มเติมเมื่อเร็ว ๆ นี้ซึ่งอาจเหมาะกับผู้ที่ใช้เครื่องมือ GPG ในการส่งอีเมลที่เข้ารหัสไปยังผู้ใช้ GNU / Linux รายอื่น ผู้เชี่ยวชาญระบุตั้งแต่วันพฤหัสบดีว่าโปรแกรมรับส่งเมลใด ๆ ที่แสดง HTML โหลดภาพโดยอัตโนมัติหรือยอมรับสื่อระยะไกลโดยไม่ได้รับอนุญาตเป็นสาเหตุของช่องโหว่เหล่านี้ อย่างไรก็ตามปัญหาคือดูเหมือนว่าหลายคนไม่ได้ใช้ประโยชน์จากพวกเขา

Enigmail ซึ่งเป็นปลั๊กอิน GPG ยอดนิยมที่ออกแบบมาเพื่อทำงานร่วมกับ Thunderbird ได้รับการอัปเดตไม่นานหลังจากที่รายงาน EFAIL เผยแพร่สู่สาธารณะ ณ วันนี้ 9 มิถุนายนผู้ใช้จำนวนมากที่ใช้ Thunderbird บน GNU / Linux ยังไม่ได้ติดตั้งการอัปเดตดังกล่าวแม้ว่าการอัปเดตจะมีอายุเกือบหนึ่งเดือนแล้วก็ตาม เนื่องจากปลั๊กอินเหล่านี้มักจะไม่อัปเดตเมื่อมีแพ็คเกจพื้นที่เก็บข้อมูลผู้ที่ใช้แพ็คเกจล่าสุดทั้งหมดตั้งแต่ต้นเดือนมิถุนายนบน Debian หรือ Ubuntu อาจยังคงมีความเสี่ยงหากไม่ได้ใช้เวลาในการอัปเดตปลั๊กอินด้วยตนเองแม้ว่าจะ เป็นปัจจุบันพร้อมกับการอัพเกรดอื่น ๆ ทั้งหมด

รายการคำแนะนำล่าสุดระบุว่าการปิดใช้งานการแสดงผล HTML และการโหลดรูปภาพจะช่วยกำจัดช่องโหว่ส่วนใหญ่ซึ่งไม่ได้เกี่ยวข้องโดยตรงกับแพ็คเกจ GPG ที่น่าสนใจก็คือตอนนี้นักพัฒนาของ Engimail ได้ให้คำแนะนำนี้เช่นกันเนื่องจากปิดใช้งานการรองรับ HTML ควบคู่ไปกับการเข้ารหัสทำให้ประสบการณ์อีเมลที่ปลอดภัยยิ่งขึ้น

ที่น่าสนใจเนื่องจากอีเมลที่เข้ารหัสจะต้องถูกกำหนดเป้าหมายโดยผู้โจมตีโดยเฉพาะอีเมลเข้ารหัสจำนวนมากที่ส่งทางอินเทอร์เน็ตจะช่วยลดความเสี่ยงที่การโจมตีแบบกำหนดเป้าหมายจะทำงานได้