mailbox.org entdeckt unverschlüsselte Passwortübertragung in myMail
Das Team von mailbox.org hat kürzlich eine kritische Sicherheitslücke im myMail-Client für iOS entdeckt, welche zu einer unverschlüsselten Übertragung von Nutzer-Passwörtern und E-Mails führt.
mailbox.org wurde auf das Problem aufmerksam, nachdem Kunden im User-Forum auf Übertragungsfehler hingewiesen haben, die beim Versenden von E-Mails über den myMail-Client entstanden sind. Nach einer Untersuchung der Logs stellte das Team fest, dass die myMail-App versucht, Passwörter ohne die sonst vorgeschriebene TLS-Verschlüsselung zu übertragen. Die App sendete nach dem Verbindungsaufbau nicht das sonst übliche STARTTLS-Kommando, sondern übertrug stattdessen weiterhin die unverschlüsselten Login-Daten des Nutzers. Somit war mailbox.org in der Lage, die Passwörter aus den Verbindungslogs zu extrahieren bzw. mitzulesen.
Laut Peer Heinlein, Geschäftsführer von mailbox.org, lehnen ihre E-Mail-Server solche unverschlüsselten Verbindungen konsequent ab, um die Sicherheit der Benutzer zu gewährleisten. Nur aus diesem Grunde scheiterten die Verbindungsversuche der myMail-App, sodass Nutzer und Postmaster von mailbox.org stutzig wurden.
Dieses Problem ist nicht nur für Kunden von mailbox.org relevant: Es stellt auch ein generelles Sicherheitsrisiko für alle Benutzer dar, die den myMail-Client verwenden. Inhalte und Passwörter können von Dritten mitgelesen und abgegriffen werden, insbesondere dann, wenn die Benutzer sich in einem offenen Netzwerk (bspw. WLAN Flughafen, Bahn etc.) befinden. Sofern andere Provider unverschlüsselte Verbindungen erlauben und in Verbindung mit der aktuellen Version der myMail-App genutzt werden, können Angreifer auch den Inhalt der unverschlüsselten E-Mails mitlesen.
Daher empfiehlt mailbox.org dringend, den myMail-Client in Verbindung mit ihrem Dienst oder anderen E-Mail-Providern vorerst nicht mehr zu verwenden, bis die Entwickler der App die Sicherheitsprobleme behoben haben. Es gibt zahlreiche alternative E-Mail-Clients, die höhere Sicherheitsstandards bieten und die Privatsphäre besser schützen. Gleichzeitig unterstreicht der aktuelle Vorfall einmal mehr die Wichtigkeit, ausschließlich über sicher konfigurierte und Verschlüsselung erzwingende Systeme zu kommunizieren.
mailbox.org: Verlässlich und vertrauenswürdig – E-Mails unter Kontrolle Teil2
Adieu Gmail, GMX, Outlook und Co. – E-Mails unter Kontrolle Teil1
Verschlüsselte E-Mails mit GnuPG als Supergrundrecht
Sicheres Passwort wählen: Der Zufall entscheidet
