.
O Microsoft Office 365 Message Encryption afirma oferecer uma maneira de “enviar e receber mensagens de email criptografadas entre pessoas dentro e fora de sua organização”.
E de acordo com Com o Secure, não é adequado: o método de criptografia empregado, conhecido como Electronic Codebook (ECB), é inseguro para dados com padrões repetidos, como texto simples ou imagens ou vídeos não compactados. E a Microsoft não está corrigindo isso.
Ao usar Modo BCE, as mensagens são divididas em uma série de blocos e o texto simples que é o mesmo em blocos diferentes produz um texto cifrado idêntico. No caso de uma imagem em que pixels da mesma cor são representados pelo mesmo texto simples, o texto cifrado correspondente também é o mesmo para pixels semelhantes, o que torna a imagem visível através do texto cifrado.
A natureza vazada do ECB o torna inadequado para comunicação segura, e os especialistas em criptografia desaconselham o uso para protocolos criptográficos. Como NIST da América estados“o uso do ECB para criptografar informações confidenciais constitui uma grave vulnerabilidade de segurança.”
O Office 365 Message Encryption (OME) depende de uma cifra forte, AES, mas WithSecure diz que isso é irrelevante porque o ECB é fraco e vulnerável à criptoanálise, independentemente da cifra usada. Em outras palavras, quando o AES é emparelhado com o modo ECB, a criptografia resultante é ruim.
O laboratório de segurança diz que as mensagens criptografadas do OME são enviadas como anexos de email e, portanto, podem residir em sistemas de email ou podem ter sido interceptadas. Um invasor com acesso a um número suficiente dessas mensagens pode potencialmente inferir o conteúdo da mensagem analisando padrões de texto cifrado repetidos.
“Os invasores que conseguem colocar as mãos em várias mensagens podem usar as informações vazadas do BCE para descobrir o conteúdo criptografado”, disse Harry Sintonen, pesquisador de segurança da WithSecure, em uma afirmação.
“Mais e-mails tornam esse processo mais fácil e preciso, então é algo que os invasores podem realizar depois de colocar as mãos em arquivos de e-mail roubados durante uma violação de dados, ou invadir a conta de e-mail de alguém, servidor de e-mail ou obter acesso a backups.”
WithSecure atribui o uso contínuo do ECB pela Microsoft ao desejo de manter a compatibilidade. A empresa de segurança observa que a biblioteca C++ do Microsoft Information Protection (MIP) tem um ProtectionHandler::PublishingSettings classe, que tem um SetIsDeprecatedAlgorithmPreferred método. Esse método, explica a documentação da Microsoft, “define se o algoritmo de criptografia (ECB) obsoleto é ou não preferido para compatibilidade com versões anteriores”.
A Microsoft evidentemente não considera isso um problema. Alertada para as descobertas da WithSecure, a gigante do software disse que nenhuma ação é necessária: “O relatório não foi considerado como atendendo aos padrões de serviço de segurança, nem é considerado uma violação. Nenhuma alteração de código foi feita e, portanto, nenhum CVE foi emitido para este relatório. “
A Microsoft introduziu em abril um sistema de governança de dados chamado Competência da Microsoft. A criptografia de mensagens do Office 365 (OME) agora é considerada um sistema legado. Fomos informados de que o goliath do Windows está procurando métodos alternativos de criptografia para produtos futuros.
Em um e-mail para Strong The Oneum porta-voz da Microsoft disse: “O recurso de gerenciamento de direitos destina-se a ser uma ferramenta para evitar o uso indevido acidental e não é um limite de segurança. autenticação e usando um produto anti-malware em tempo real.”
WithSecure diz que as organizações que usam o Office 365 Message Encryption podem querer considerar as ramificações legais dessa vulnerabilidade, principalmente no que diz respeito às regras de privacidade da UE e da Califórnia.
“Como a Microsoft não tem planos para corrigir essa vulnerabilidade, a única mitigação é evitar o uso da criptografia de mensagens do Microsoft Office 365”, conclui o laboratório. ®
.
