Клиент Mozilla Thunderbird сохранял ключи OpenPGP открытым текстом

[Artifact]

Проблема была связана с ошибкой в ​​программной библиотеке RNP, используемой в клиенте Thunderbird и браузере Mozilla Firefox.

Бесплатный почтовый клиент Mozilla Thunderbird последние несколько месяцев сохранял ключи OpenPGP некоторых пользователей в виде обычного текста. Уязвимость ( CVE-2021-29956 ) затрагивала версии Thunderbird от 78.8.1 до 78.10.1.
В связи с уязвимостью импортированные ключи OpenPGP сохранялись на устройствах пользователей без шифрования. Таким образом, локальный злоумышленник мог просмотреть и скопировать ключи, а затем выдать себя за подлинного отправителя якобы защищенных электронных писем.
Несколько недель назад некоторые пользователи настольной версии почтового клиента Thunderbird обнаружили, что при открытии программы они могут просматривать электронные письма, зашифрованные OpenPGP, без ввода своих мастер-паролей. В Thunderbird такие сообщения должны быть доступны для просмотра только после аутентификации.
Процессы обработки ключей были переписаны с целью обеспечения их безопасности. До переписывания кода процесс обработки вновь импортированных ключей OpenPGP в Thunderbird был следующим:

1. Импорт секретного ключа во временную область памяти;
   


2. Разблокировка ключа с помощью введенного пользователем пароля;
   


3. Копирование ключа в постоянное хранилище;
   


4. Защита ключа с помощью автоматического пароля OpenPGP Thunderbird;
   


5. Сохранение нового списка секретных ключей на диск.

После переписывания порядок действий был изменен, в частности порядок шагов 3 и 4.

1. Импорт секретного ключа во временную область памяти;
   


2. Разблокировка ключа с помощью введенного пользователем пароля;
   


3. Защита ключа с помощью автоматического пароля OpenPGP Thunderbird;
   


4. Копирование ключа в постоянное хранилище;
   


5. Сохранение нового списка секретных ключей на диск.

«Предполагалось, что защита секретного ключа на шаге 3 будет сохранена при копировании его в другую область хранения... предположение было ложным», — пояснил один из специалистов команды Thunderbird Кай Энгерт (Kai Engert).
Фактически, когда ключ был скопирован в постоянное хранилище, защита отключалась в результате ошибки в ​​программной библиотеке RNP, используемой в Thunderbird и браузере Mozilla Firefox для защиты ключей OpenPGP.
Проблема была исправлена в версии Thunderbird 78.10.2, а более поздние версии почтового клиента будут проверять наличие незащищенных ключей в secring.gpg. Если такие ключи будут найдены, они будут быть преобразованы в защищенные ключи.