USENIX 発表の成果物 | 全文はこちら
OpenPGP と S/MIME は、電子メールを暗号化しデジタル署名するための 2 大標準規格です。デジタル署名は、メッセージの真正性と完全性を保証するものとされています。本研究では、OpenPGP および S/MIME の電子メール署名検証のさまざまな実装に対する実用的な偽造攻撃を、5 つの攻撃クラスに分類して示します。(1) S/MIME のコンテナ形式におけるエッジケースを分析します。(2) 最も広く使用されている OpenPGP 実装である GnuPG API のインバンドシグナリングを悪用します。(3) 部分的に署名されたメッセージに対する電子メールクライアントの処理を悪用する MIME ラッピング攻撃を適用します。(4) 署名されたメッセージと送信者 ID の関連付けにおける脆弱性を分析します。(5) UI リドレッシング攻撃について電子メールクライアントを体系的にテストします。
本攻撃により、テストした OpenPGP 対応電子メールクライアント 20 件中 14 件、および S/MIME 署名に対応する電子メールクライアント 22 件中 15 件において、任意のメッセージに対するデジタル署名の偽装が可能になります。これらの攻撃はデジタル署名の基礎となる暗号プリミティブを標的とするものではありませんが、OpenPGP および S/MIME 電子メールアプリケーションの実際のセキュリティに懸念を生じさせます。最後に、これらの攻撃に対抗するための緩和策を提案します。
CMS 攻撃。 暗号メッセージ構文 (CMS: Cryptographic Message Syntax) は、X.509 公開鍵インフラストラクチャにおける署名付き・暗号化メッセージのための多用途な標準規格です。私たちは、矛盾した内容や通常とは異なるデータ構造を持つ電子メールの処理に欠陥を発見しました。
GPG API 攻撃。 GnuPG は最も広く使用されている OpenPGP 実装ですが、署名の検証には非常に限定されたコマンドラインインターフェースしか提供していません。このインターフェースはインジェクション攻撃に対して脆弱でした。
MIME 攻撃。 電子メールの本文は概念的には MIME ツリー ですが、通常は署名された葉が 1 つだけのツリーです。私たちは、別の部分で無関係な署名を検証している間に、クライアントに未署名のテキストを表示させる非標準的な MIME ツリーを構築します。
ID 攻撃。 この攻撃クラスの目的は、細工された電子メールが実際には攻撃者によって署名されているにもかかわらず、メールヘッダー内に存在する信頼できる通信相手の ID からの有効な署名を表示させることです。
UI 攻撃。 電子メールクライアントは、ユーザーインターフェース (UI) に、例えば封印付きの手紙などのセキュリティインジケーターを表示することで、有効な署名を示します。しかし、いくつかのクライアントでは、HTML、CSS、その他の埋め込みコンテンツを使用して重要な UI 要素を模倣することが可能です。
