Det er viktig å påpeke at feilen ikke påvirker konfidensialiteten eller integriteten av OpenPGP-krypterte meldinger. I hovedsak dreier det seg om hvordan offentlige nøkkeltjenere er satt opp ved opplasting og nedlasting av nøkler.

I utgangspunktet setter OpenPGP-spesifikasjonen ingen begrensninger på hvor mange signaturer man kan ha på en nøkkel. Men nøkkeltjenere håndterer i dag nøkler med inntil 150 000 signaturer. GnuPG har derimot ingen støtte for dette. Dersom nøklene blir signert med 150 000 signaturer og lastet opp til
nøkkeltjeneren; vil GnuPG til en viss grad stoppe opp når nøklen blir tvunget inn på en plass som egentlig ikke er stor nok. Dette gjør at tjenesten i seg selv blir ubrukelig og at PGP-klienten også stopper.

Feilen har følgende konsekvenser:

  • Ved importering eller oppdatering av nøkler og sertifikater kan PGP-klienten kræsje eller bli hindret i å fungere som forventet.
  • Pakkebehandlere som benytter seg av PGP for pakkesignering kan kræsje om den forsøker å behandle et påvirket sertifikat.
  • Påvirkede sertifikater kan ikke slettes fra nøkkelserverne.

Det forventes at antallet påvirkede sertifikater vil øke i fremtiden og det er uklart hvilken intensjon aktøren bak angrepet har. Samt omfanget og konsekvensen av angrepet utover at PGP-klienten ødelegges.

Med restriksjonene på sletting av påvirkede nøkler kan NorCERT på dette tidspunktet kun anbefale at brukere av PGP unnlater å laste ned eller oppdatere nøkler uten å først bekrefte at nøkkelen ikke har et uvanlig høyt antall signaturer. I verste fall kan det være mulig å gjenopprette fra en sikkerhetskopi av nøkkelringen.

Kilder: