이메일 내용을 평문으로 열람할 수 있는 보안 취약점이 발견되어 네티즌들의 주의가 요망된다.
EFAIL로 명명된 보안 취약점은 S/MIME과 OpenPGP 프로토콜을 사용하는 경우 발생한다.
해당 취약점은 이메일 클라이언트가 HTML 메일을 통해 보낸 이미지들을 자동으로 노출시키도록 설정한 상태에서 암호화된 메시지를 중간에서 가로채, 암호화된 부분 앞에 IMG 태그를 열고 닫지 않은 상태로 원 이메일 클라이언트로 전달한다.
이 경우 이메일 클라이언트가 설정에 따라 이미지를 자동으로 노출하려고 시도하는 과정에서 텍스트가 복호화 되며 이미지에 대한 요청은 복호화된 텍스트와 함께 서버로 되돌려 보내진다.
단지, 해당 공격은 암호화된 메시지에 텍스트를 추가하는 절차가 필요한데, 이 때 이미 오류 메시지가 나타나기에 탐지가 쉬워 이메일 클라이언트가 오류만 제대로 파악하고, 정석대로 처리한다면 이메일의 복호화가 진행되지 않을 것이라고 전했다.
EFAIL은 이메일 클라이언트의 HTML 이메일이나 스크립트 실행 기능을 중단하는 간단한 조치로 방지할 수 있으며, 암호화된 이메일 샘플을 공격자가 미리 확보해둔 상태에서 공격 대상이 보안에 취약한 이메일과 PGP 클라이언트를 보유하고 있어야 해, 공격 조건이 지나치게 비현실적이라는 의견도 있다. |
