Шифрование электронной почты Microsoft Office 365 может быть не таким надежным, как кажется

В способе обработки Microsoft защищенных электронных писем, отправленных через Microsoft Office 365, заявил исследователь безопасности.

Как сообщает ComputerWeekly, при наличии достаточно большой выборки злоумышленник, по-видимому, мог злоупотребить лазейкой, чтобы расшифровать содержимое зашифрованного электронные письма.

Однако Microsoft преуменьшает важность результатов, заявляя, что это не совсем недостаток. В настоящее время компания не намерена вводить исправления.

Больше писем, легче находить

Эта уязвимость была обнаружена исследователем безопасности Гарри Синтоненом из WithSecure (ранее F-Secure) в шифровании сообщений Office 365 (OME).

Организации обычно используют OME при отправке зашифрованных электронных писем, как внутренних, так и внешне. Но учитывая тот факт, что OME шифрует каждый блок шифра по отдельности, а повторяющиеся блоки сообщения каждый раз соответствуют одним и тем же блокам зашифрованного текста, злоумышленник теоретически может раскрыть подробности о структуре сообщения.

Это, Синтонен также утверждает, что потенциальный субъект угрозы с достаточно большой выборкой электронных писем OME может сделать вывод о содержании сообщений. Все, что им нужно сделать, это проанализировать расположение и частоту повторяющихся шаблонов в каждом сообщении и сопоставить их с другими сообщениями.

«Больше электронных писем делают этот процесс проще и точнее, поэтому злоумышленники могут это сделать после того, как получат в свои руки архивы электронной почты, украденные во время утечки данных, взломав чью-то учетную запись электронной почты, почтовый сервер или получив доступ к резервным копиям», — сказал Синтонен.

Если злоумышленник получает архивы электронной почты, украденные во время утечки данных, это означает, что он сможет анализировать шаблоны в автономном режиме, что еще больше упрощает работу. Это также сделало бы практику использования собственного шифрования/ключа (BYOE/K) устаревшей.

К сожалению, если злоумышленники получат доступ к этим электронным письмам, бизнес мало что сможет сделать.

p>

По всей видимости, исследователь сообщил о проблеме в Microsoft в начале этого года, но безрезультатно. В заявлении, предоставленном WithSecure, Microsoft заявила, что отчет «не считается соответствующим планке для обслуживания безопасности и не считается нарушением. В код не вносились изменения, поэтому для этого отчета не было выпущено CVE".

• Это лучшие инструменты обеспечения конфиденциальности и безопасные браузеры

  Через ComputerWeekly

  ---

  Оригинал