Apple Mail slaat e-mails onversleuteld op

Gebruik jij Apple Mail voor macOS? Dan is het goed om te weten dat jouw versleutelde e-mails onversleuteld in een database worden opgeslagen. Apple is in juli geïnformeerd over het probleem, maar een fix is nog niet beschikbaar.

Het lek is ontdekt door onderzoeker Bob Gendler, weet Security.nl te vertellen. Op zijn Mac trof hij een database genaamd snippets.db, waarin e-mails die versleuteld zouden moeten zijn onversleuteld op werden geslagen.

Gendler dacht te mailen via de beveiligingsstandaard S/MIME (Secure/Multipurpose Internet Mail Extensions), een standaard die gebruik maakt van een public key en een private key. Een verzonden e-mail wordt versleuteld met de public key van de ontvanger, en valt te ontsleutelen met de private key van de ontvanger, waar alleen de ontvanger over zou moeten beschikken. Heb je de private key niet? Dan hoor je de e-mail niet te kunnen ontsleutelen en kun je de mail dus ook niet lezen. Gendler: 'Tenzij je private key is gecompromitteerd, kun je er zeker van zijn dat alleen je beoogde ontvanger toegang tot de gevoelige data in je e-mail heeft'

'Serieus probleem voor overheden, bedrijven en normale mensen'

Omdat Apple Mail de e-mails onversleuteld opslaat, kunnen mails worden gelezen door iedereen die zichzelf toegang tot een database weet te verschaffen: de private key is niet vereist. Volgens Gendler is er sprake van een onaanvaardbaar risico: 'Dit is een serieus probleem voor overheden, bedrijven en normale mensen die versleutelde e-mail gebruiken en verwachten dat de inhoud is beschermd'.

Siri

Maar waar wordt snippets.db nou voor gebruikt? Deze database heeft als doel om Siri betere informatie aan gebruikers te laten suggereren. Volgens Gendler staat standaard ingesteld dat Siri kan leren van de e-mailapplicatie en is dat niet zoals het hoort.

Uitschakelen

Gendler noemt een drietal oplossingen waarmee je de toestemming van Siri kunt intrekken, waarvan er twee praktisch zijn voor thuisgebruikers. De eerste optie is om vanuit Systeemvoorkeuren naar Siri te gaan en daar de knop Siri-suggesties en privacy te gebruiken. Het vinkje achter Mail kun je vervolgens uitschakelen.

Een alternatief is om in de applicatie Terminal het volgende commando in te voeren: defaults write com.apple.suggestions SiriCanLearnFromAppBlacklist -array com.apple.mail

De database snippets.db verwijderen wordt daarnaast ook aangeraden: reeds opgeslagen mails staan namelijk nog steeds in dit bestand nadat je de toestemming intrekt.