Alcuni ricercatori hanno individuato dei difetti nel codice HTML di Apple Mail su Mac e iOS, che consentirebbe ad aggressori ed hacker di estrarre come file di testo in chiaro il contenuto  di messaggi di posta elettronica crittografati. Mentre la maggior parte delle email viene inviata non criptata, molte aziende e persone si affidano alle comunicazioni crittografate S /MIME e PGP per condividere informazioni private.

Il problema principale che riguarda Apple Mail e anche il client Thunderbird di Mozilla, è un sistema che utilizza risposte multipart per inserirsi nei codici HTML.  Se un utente malintenzionato ottiene contenuti di posta crittografati da una persona, è possibile inviare tale testo crittografato all’utente e rivelare il modulo di testo in chiaro decriptato senza utilizzare chiavi di accesso. In sostanza, l’hacker invia tre file: una dichiarazione HTML <img> parziale, una stringa di testo crittografato e un codice HTML di chiusura per il tag immagine. Questo si traduce nel client di posta come una decodifica del testo cifrato.

Apple Mail: come risolvere la violazione delle mail criptate

Questo bug nell’applicazione Mail per Mac e iOS può essere risolto con un semplice aggiornamento software che è in fase di sviluppo, e attualmente sarebbe l’unico modo per porvi rimedio. Tuttavia, è importante sottolineare che essere vittime di questo attacco è piuttosto difficile, in quanto è necessario che l’email criptata sia individuata dal malintenzionato, il quale deve essere tra i contatti del destinatario. Il potenziale di comunicazioni compromesse aumenta nel caso in cui l’email fa parte di una conversazione di gruppo, in quanto in questo caso l’autore dell’attacco deve solo rivolgersi ad una persona del gruppo.

È comunque possibile disabilitare il caricamento di contenuti remoti  all’interno delle impostazioni di Apple Mail come soluzione temporanea in vista del rilascio dell’aggiornamento software. Per la versione su Mac, è sufficiente cliccare sulla voce “Carica contenuto remoto in messaggi” nelle Preferenze di Mail. Su iOS, basta switchare l’opzione “Carica immagini remote” disponibile in Impostazioni. Come misura più estrema, è possibile rimuovere completamente le chiavi PGP dal client di posta elettronica, impedendo all’applicazione di decrittografare le stringhe codificate.

Fonte: 9to5mac