Gmail warnt künftig bei unverschlüsseltem Transportweg
Damit reagiert Google auf die Resultate einer mehrjährigen Studie zur E-Mail-Sicherheit. Demnach ist diese zwar besser als noch vor zwei Jahren, allerdings kamen hierbei auch neue Defizite ans Licht. Die Warnungen sollen “in den kommenden Monaten” ausgeliefert werden.
Google will seine Anwender warnen, wenn sie über eine unverschlüsselte Verbindung eine E-Mail bekommen. Damit reagiert der Internetkonzern auf die Resultate einer mehrjährigen Studie, die in Kooperation mit der University of Michigan durchgeführt wurde. Sie hat ergeben, dass E-Mail heute zwar sicherer als vor zwei Jahren ist, es allerdings auch neue Probleme bei der Sicherheit gibt.
Die Studie zeigt, dass der Anteil verschlüsselter Nachrichten unter den eingehenden Mails von Dezember 2013 bis Oktober 2015 von 33 auf 61 Prozent angestiegen ist. Zudem unterstüzen inzwischen mehr Empfänger-Domains E-Mail-Verschlüsselung. Auf dem Weg von Gmail zu anderen Diensten erhöhte sich im gleichen Zeitraum deshalb der Prozentsatz der auf dem Transportweg mit TLS chiffrierten Nachrichten von 60 auf 80 Prozent. Authentifizierungstechniken, um vor Phishing und Identitätsbetrug zu schützen werden mittlerweile bei mehr als 94 Prozent der hereinkommenden Nachrichten verwendet.
Die Sicherheitsforscher stellten aber auch fest, dass Verschlüsselung in Bereichen des Internets aktiv unterbunden wird, indem Befehle zur Initialisierung von SSL-Verbindungen manipuliert werden. Google arbeitet deshalb mit dem Branchenverband M3AAWG zusammen, um das “opportunistische TLS” (TLS, wenn möglich) mit neuen Methoden zu stärken, die schon bei Chrome zum Einsatz kamen.
Als weitere Herausforderung erwiesen sich DNS-Server, die falsche Routing-Informationen an E-Mail-Server ausgaben, die zu Gmail weiterleiten wollten. Das sei zwar eine seltene Angriffsart, aber zugleich eine sehr besorgniserregende, da sie Angreifern erlaube, Nachrichten vor der Weiterleitung zum Empfänger zu zensieren oder zu ändern.
Aufgrund der schon länger praktizierten Verschlüsselung der Kommunikation von Gmail-Konto zu Gmail-Konto betreffen diese möglichen Schwachstellen zwar deren Nutzer nicht, können aber die Übertragung zwischen verschiedenen Providern gefährden. Aus diesem Grund sollen die Warnungen an Gmail-Nutzer bei unverschlüsselter Übertragung hereinkommender Nachrichten ausgegeben werden. Einen konkreten Zeitpunkt, ab wann das der Fall sein wird, hat Google noch nicht genannt. Der Konzern teilt lediglich mit, mit den Warnungen wolle man “in den kommenden Monaten” beginnen.
[mit Material von Bernd Kling, ZDNet.de]