Wie veranlasst man den Empfänger zu solch selbstschädigendem Verhalten? Eigentlich soll er ja in diesem Moment nur empfangen; Senden ist nicht vorgesehen. Unter gewissen Umständen aber eben doch. Moderne E-Mail-Programme verstehen in einem gewissen Umfang die Sprache HTML, die allen Websites zu Grunde liegt. Insbesondere kann der Absender, statt ein Bild beizufügen, in die Mail die Anweisung einbauen: »Hol dir ein Bild von meiner Website www.xxx.« Das kann sinnvoll sein, wenn er den Empfänger über das Wetter, Börsenkurse oder Sonderangebote informieren will, und zwar nicht zum Zeitpunkt des Absendens, sondern ganz aktuell zum Zeitpunkt des Abrufs.
Datenschützern ist dieser »Backchannel« genannte Rückwärtskanal von Empfänger zu Sender seit jeher ein Dorn im Auge. Immerhin bekommt der Absender durch den Abruf des Bildes eine Lesebestätigung, ohne dass das dem Empfänger bewusst würde, und erfährt, welchen Client dieser benutzt. Die meisten E-Mail-Clients führen die Anweisung »Hol dir das Bild« aus, ohne bei ihrem Gebieter nachzufragen. Und einige sehr verbreitete Programme bieten ihm nicht einmal die Möglichkeit, das zu verbieten. Doch dieses Problem verblasst vor dem Unheil, das der Angreifer darüber hinaus anrichten kann.
Die Entdecker der Lücke haben die Hersteller der E-Mail-Clients vorinformiert – gelöst haben viele das Problem noch nicht
Was der Client des Empfängers über den Backchannel schickt, ist nämlich nichts weiter als eine Webadresse. Deren Inhaber kann daraufhin zwar das Bild herausrücken, muss sich darauf aber nicht beschränken. Der Bösewicht richtet es so ein, dass der Klartext, den er haben will, Bestandteil der Webadresse wird. Dann kopiert er ihn sich einfach aus der Adresse – und schickt dann das Bild, damit der Übertölpelte keinen Verdacht schöpft.
Schwachstelle Bilderversand
Dazu schickt der Bösewicht dem Opfer eine Mail mit einem durchaus üblichen Aufbau. (Das ist die Form, in der die Mail versendet wird und die der Client verarbeitet; in der Regel bekommt der Empfänger sie nicht zu sehen.) Erst eine Anweisung »Hol dir das Bild« mit einer Webadresse, die nach den HTML-Regeln in Gänsefüßchen eingeschlossen ist. Dann die Ansage »Es folgt verschlüsselter Text«, gefolgt von dem verschlüsselten Text einer »alten« E-Mail, die der Bösewicht zuvor mitgehört hat und im Klartext lesen möchte, und dann irgendwelche anderen Bestandteile.
Der Client entschlüsselt im ersten Schritt den verschlüsselten Teil und verarbeitet die nun vollständig im Klartext vorliegende E-Mail nach den Regeln von HTML. Der Bösewicht hat aber bei der Anweisung »Hol dir das Bild« heimtückisch das schließende Gänsefüßchen weggelassen. Das holt er erst in dem Teil nach, der dem verschlüsselten Text folgt. Also wird nach den Regeln von HTML der ganze in Gänsefüßchen eingeschlossene Text als Webadresse interpretiert und an Bösewichts Computer geschickt – Klartext inklusive.
Der Empfänger, der durch Öffnen der E-Mail die ganze Aktion ausgelöst hat, sieht davon nichts als eine harmlos wirkende E-Mail, und da deren sichtbarer Inhalt langweilig ist, löscht er sie vielleicht sofort. Und wenn der Klartext seinerseits ein Gänsefüßchen enthält? Dann bricht die Übermittlung an dieser Stelle ab. Aber HTML bietet Möglichkeiten, aus dem Folgetext eine neue Webseiten-Anforderung zu machen – mit etwas Geschick in ein und derselben E-Mail.
E-Mail-Hacken für Fortgeschrittene
Das war sozusagen E-Mail-Hacken für Anfänger. Es ist allerdings erstaunlich, wie viele Clients sich durch diesen relativ einfachen Trick übertölpeln lassen. Die fortgeschrittenen Versionen bewältigen auch E-Mails, die nicht nur teilweise, sondern von Anfang bis Ende verschlüsselt sind. Hier steht der Bösewicht vor dem Problem, die heimtückische Anweisung gleichfalls zu verschlüsseln – das ist nicht schwer, der öffentliche Schlüssel des Empfängers steht ja zur Verfügung.
