Re: (OT) Mailclients und Efail…
On Thu, May 24, 2018 at 11:10:55PM +0200, Christoph Schmees wrote:
> Am 24.05.2018 um 22:13 schrieb Stefan Baur:
> > Eve fängt diese Nachricht ab, baut ihren bösen HTML-Code drumherum, der
> > einen unter Ihrer Kontrolle stehenden Webserver aufruft, an den dann die
> > entschlüsselte Nachricht übertragen wird. Dann trägt sie im
> > Absender-Feld wieder Alice <alice@example.com> ein und schickt die Mail
> > an Dich.
> >
> > Da Du Alice <alice@example.com> vertraust und HTML-Mails erlaubst, wirst
> > Du die Nachricht entschlüsseln - und Eve bekommt dank des EFAIL-HTMLs,
> > das die entschlüsselte Nachricht umgibt, den entschlüsselten Inhalt auf
> > ihren Webserver geliefert.
> >
> > TL;DR: Da das Absenderfeld beliebig manipulierbar ist, darfst Du ihm
> > nicht vertrauen.
> >
>
> aha, das dachte ich mir: Da haben wir uns mistverstanden. Die HTML-
> und Nachlade-Erlaubnis erteile ich ausschließlich für die besagten
> bunten Newsletter, die als nur-Text besch... aussehen.
Dann kann Eve immer noch die Absender- Adresse einer Deiner Newsletter
verwenden. Die muß sie zwar wissen, aber da sie ja die Mail von Alice
abfangen konnte, wird sie wohl auch die Newsletter abfangen können.
Viele Grüße
Ulf
Reply to: