E-mail сервисы крупнейших компаний уязвимы к фишинговым атакам

Компании Google, Microsoft, Yahoo!, PayPal и eBay недавно устранили брешь в криптографической системе их служб электронной почты, которая позволяла хакерам подделывать цифровую подпись сообщений и отправлять их якобы от сотрудников этих компаний.

Уязвимость присутствует в системе DomainKeys Identified Mail (DKIM), которая используется поставщиками услуг электронной почты для придания сообщениям специальной криптографической подписи. Эта подпись подтверждает доменное имя отправителя, что упрощает процесс фильтрации вредоносных сообщений.

Проблема реализации DKIM состояла в том, что если объем ключа подписи составляет меньше чем 1 024 бита, при наличии достаточных вычислительных мощностей ее можно подделать. US-CERT в своем уведомлении подтвердила, что ключи короче чем 1,024 бита не обеспечивают достаточный уровень безопасности, и что все ключи размером до RSA-768 могут быть подделаны.

Первым о данной проблеме заявил математик американского штата Флорида Захари Харрис (Zachary Harris), который получил от отдела кадров Google сообщение, использующее 512-битный ключ. Как передает Wired, он решил продемонстрировать свою находку, отправив Сергею Брину (Sergey Brin) сообщение якобы от Ларри Пейджа (Larry Page), а Ларри Пейдж, в свою очередь, получил сообщение якобы от Сергея Бринна.

Впоследствии Харрис установил, что проблема не была ограничена только Google – интернет компании Microsoft PayPal, Yahoo!, Amazon, eBay, Apple, Dell, LinkedIn, Twitter, US Bank, HP, Match.com и HSBC также могут стать жертвами мошенников.