研究人员已经证明，电子邮件客户端中的 HTML 渲染可以在阅读电子邮件时提取电子邮件的解密内容。 Apple、Microsoft 或 Mozilla 的软件受到影响。
电子邮件安全中的红色警报。一组研究人员发现所使用的两个主要消息加密系统（即 OpenPGP 和 S/MIME）存在严重缺陷。
提醒一下，这两个系统依赖对称和非对称加密算法（例如 AES 和 RSA）来确保发送器和接收器之间的端到端机密性。
在公众层面，这两者中最著名的技术是 OpenPGP，它可以与任何电子邮件客户端一起使用。只需安装适当的软件插件或浏览器扩展：Enigmail、GPGTools、Gpgf4win、Mailvelope 等。一些服务提供商还将其直接集成到他们的产品中。例如，情况就是如此质子邮件和的GMX焦糖。另一方面，S/MIME 技术仅用于商业，因为它需要分层基础设施来向用户分发证书。
两种攻击方式
研究人员只计划明天早上透露这些缺陷的细节。然而，事实证明他们的科学论文和解释已经可以在网站上找到电子邮件地址。
被称为“EFAIL”的攻击原理如下：攻击者拦截加密的电子邮件，集成一些HTML标签，然后将其发送给收件人。当后者在他的电子邮件客户端中解密它们时，解密的文本会被发送回攻击者，这正是这些 HTML 标签的功劳。
该提取通道可以通过两种方式构建。在第一种情况下，密文只是简单地包含在图像标签中。然后，解密的文本将被电子邮件客户端解释为 HTML 图像请求的一部分，并以明文形式发送给攻击者。在测试的 47 个电子邮件客户端中，有 17 个容易受到此类攻击，包括 Apple Mail (macOS)、Mail App (iOS)、Thunderbird（Windows、macOS、Linux）、Postbox (Windows) 和 MailMate (macOS)。
第二种情况类似，但技术上要复杂得多。这次，攻击者利用 PGP/GPG 和 S/MIME 使用的加密标准（在本例中为 CBC 和 CFB 块密码模式）中发现的漏洞，将其标签直接注入密文中。 HTML 标签仅在解密后才会出现，从而创建提取通道。在测试的 35 个电子邮件客户端中，有 23 个通过 S/MIME 容易受到攻击，10 个通过 PGP/GPG 容易受到攻击。
目前没有可用的补丁。与此同时，幸运的是有一些解决方法，首先是在电子邮件客户端中禁用 HTML 模式。另一个解决方案：在电子邮件客户端中禁用解密。在这种情况下，用户必须将加密内容复制并粘贴到另一个不呈现 HTML 的解密应用程序中。那些不想麻烦的人也可以简单地放弃电子邮件并使用带有端到端加密的更现代的消息传递系统，例如 Signal 或 Telegram。
最后，根据经验丰富的密码学家 Bruce Schneier 的说法，利用这些缺陷并不是第一个黑客所能做到的。“能够拦截和修改传输中的电子邮件是美国国家安全局可以做的事情，但这对普通黑客来说很难”，他在一篇文章中解释道博客文章。
