Car-tech

구글, 마이크로 소프트, 야후가 심각한 이메일 약점 수정

Randy Brown-If I don't love you

Randy Brown-If I don't love you
Anonim

구글, 마이크로 소프트, 야후는 전자 메일 시스템에서 암호 해독을 시도하여 침입자가 수학 보안 확인을 통과하는 스푸핑 된 메시지를 생성 할 수 있습니다.

약점은 DKIM 또는 사용 된 보안 시스템 인 도메인 키 메일에 영향을 미칩니다. 주요 이메일 발신자가 DKIM은 메시지가 전송 된 도메인 이름을 확인하는 전자 메일 주위에 암호화 서명을 래핑하므로 합법적 인 메시지에서 스푸핑 된 메시지를 쉽게 필터링 할 수 있습니다.

1,024 비트 미만의 서명 키는 문제가 될 수 있습니다. 증가하는 컴퓨터 성능으로 인해 분해 될 수 있습니다. US-CERT는 수요일에 발표 된 권고에서 1,024 비트 미만의 서명 키는 약하며 RSA-768 비트까지의 키는 인수 분해되었다고 말했다.

[추가 정보: Windows PC에서 악성 코드 제거 방법]

플로리다에 거주하는 수학자 인 Zachary Harris가 Wired 매거진의 수요일 발행 한 보고서에 따르면 512 비트 키만을 사용하는 Google 신병 모집 자의 이메일을 보낸 후 문제가 발생했습니다.

영리한 테스트 일 수 있다고 생각합니다. Google은 키를 인수 분해하여 세르게이 브린 (Sergey Brin)에서 Google 창립자 인 래리 페이지 (Larry Page)에게 스푸핑 된 메시지를 보냈습니다.

테스트는 아니지만 사실 심각한 문제입니다. 가짜 일 수있는 이메일 신뢰할 수있다. DKIM 표준에 따르면 1,024 비트보다 짧은 키가 포함 된 전자 메일 메시지는 반드시 거부되지는 않습니다.

Harris는 문제는 Google뿐만 아니라 Microsoft와 Yahoo도 문제가되지 않는 것으로 나타났습니다. 2 일 전, US-CERT에 따르면. Harris는 Wired에게 PayPal, Yahoo, Amazon, eBay, Apple, Dell, LinkedIn, Twitter, SBCGlobal, US Bank, HP, Match.com 및 HSBC에서 512 비트 또는 768 비트 키를 발견했다고 전했다.

Weak 서명 키는 사이버 범죄자에게 이익이됩니다. 이들은 컴퓨터의 소프트웨어를 악용하고 악성 코드를 설치하려는 시도로 악의적 인 링크가 포함 된 전자 메일을 선별하여 대상으로 삼습니다. 전자 메일에 올바른 DKIM 서명이 포함되어 있으면받는 사람의받은 편지함에서 끝날 가능성이 높아집니다.

US-CERT는 또 다른 문제에 대해 경고했습니다. DKIM 사양을 사용하면 보낸 사람이 메시지에서 DKIM을 테스트하고 있음을 알릴 수 있습니다. 일부 수신자는 DKIM이 서명되지 않은 것처럼 메시지를 처리해야하는 경우 테스트 모드에서 DKIM 메시지를 수락합니다.

뉴스 팁 및 의견은 [email protected]으로 보냅니다. 트위터에서 나를 따라와: @ jeremy_kirk