Attaque par canal auxiliaire de cache sur un agent utilisateur de messagerie

Les programmes MUA (Agent Utilisateur de Messagerie) prennent en charge la fonctionnalité de cryptage des e-mails pour garantir la confidentialité du contenu des e-mails. Ils encryptent le contenu des e-mails en utilisant des normes de cryptage des e-mails telles qu'OpenPGP ou S/MIME, principalement mises en œuvre par GnuPG, ou GPG dans la pratique. Afin de comprendre les implications de sécurité des structures et d'analyser les vulnérabilités possibles des programmes MUA, dans cet article, nous avons examiné des MUA pratiques supportant le cryptage des e-mails. En conséquence, nous avons trouvé de graves vulnérabilités dans une liste de MUA qui permettent des attaques par canal auxiliaire de cache dans des environnements de bureau virtualisés. Notre analyse révèle que la cause profonde provient du manque de vérification et de contrôle sur les bibliothèques cryptographiques tierces qu'ils adoptent. Pour étayer l'importance de la vulnérabilité que nous avons trouvée, nous avons effectué une attaque FLUSH+RELOAD sur ces programmes MUA et démontré que l'attaque restaure 92 % des clés privées RSA lorsque les destinataires lisent un seul e-mail crypté.