El plugin que integra la encriptación de PGP dentro de Outlook tiene un
error de diseño que provoca el almacenamiento, en determinadas
circunstancias y de forma automática, del texto sin cifrar de los
mensajes cifrados recibidos.
PGP es el estándar “de facto” para la encriptación de archivos y correo
electrónico mediante un sistema de tecnología híbrida de clave pública y
cifrado simétrico. La versión 7.0 amplia las prestaciones de
encriptación y se convierte en un sistema de seguridad personal,
incluyendo un cortafuegos personal, un sistema de detección de intrusos,
un cliente de redes privadas virtuales, etcétera.
Para la integración del sistema de encriptación de correo electrónico
con Microsoft Outlook se utiliza un plugin, que se instala de forma
automática durante el proceso de instalación. Este plugin es el
encargado de realiza la tareas de cifrado y decrifrado los mensajes de
forma transparente para el usuario final.
Se ha descubierto la existencia de un error de diseño que puede
provocar, en determinadas circunstancias, el almacenamiento de una copia
en texto claro de un mensaje recibido que esté cifrado.
El problema únicamente sucede cuando el receptor de un mensaje responde
a un mensaje cifrado con PGP y la opción “Automatically decrypt/verify
when opening messages” esté activada mientras que la opción “Always use
Secure Viewer when decrypting” esté desactivada.
Dentro de esta configuración pueden producirse dos situaciones:
* Si el receptor recibe un mensaje cifrado, lo abre y descrifa y a
continuación cierra el mensaje, éste se conserva de forma cifrada en la
carpeta de correo del receptor. Se trata, pues, del comportamiento
esperado.
* Si el receptor recibe un mensaje cifrado, lo abre y
descrifra y a continuación procede a responderlo, la copia descrifrada
que ha generado el plugin se conserva en el disco duro del receptor. En
ningún momento se notifica de esto al receptor.
Se trata pues de un error en el diseño del plugin que no debería
conservar esta copia descifrada del mensaje.
Para prevenir este comportamiento anómalo debe procederse a activar la
opción “Always use secure viewer when decrypting” o bien desactivar la
opción “Automatically decrypt/verify when opening messages”.
El problema afecta únicamente a las siguientes versiones de PGP:
* PGP 7.0 ejecutándose en Microsoft Windows 95, 98, ME, 2000 y NT 4.0
* PGP 7.0.3 ejecutándose en Microsoft Windows 95, 98, 2000 y NT 4.0
* PGP 7.0.4 ejecutándose en Microsoft Windows 95, 98, 2000 y NT 4.0
Por otra parte, el plugin para Outlook incluido en la versión 7.1.1 de
PGP Corporate Desktop, recientemente publicada, ya incorpora la solución
a este problema.
xavi@hispasec.com
Deja un comentario