Microsoft Office 365 encryptie kan inhoud van berichten lekken
Een methode die wordt gebruikt in Microsoft 365 om berichten te versleutelen kan volgens beveiligingsbedrijf WithSecure de inhoud ervan lekken. Het bedrijf heeft het probleem met de berichtversleuteling gemeld bij Microsoft en ontving daarvoor een beloning van $5.000. De kwetsbaarheid komt echter niet in aanmerking voor een beveiligingsupdate, aldus het techbedrijf. Met Microsoft Office 365 Message Encryption (OME) kunnen gebruikers versleutelde e-mails ontvangen en verzenden. Voor versleuteling wordt de modus Electronic Codebook (ECB) gebruikt. Volgens het beveiligingsbedrijf is ECB onveilig en kan het informatie over de structuur van verzonden berichten lekken, wat op zijn beurt kan leiden tot gedeeltelijke of volledige lekkage van de berichtinhoud. Een aanvaller moet eerst toegang krijgen tot een groot aantal versleutelde berichten. Het probleem met de Electronic Codebook (ECB) modus is dat het versleutelen van dezelfde blokken plaintext altijd hetzelfde versleutelde resultaat oplevert. Hoewel de inhoud van de versleutelde gegevens niet onmiddellijk zichtbaar is, is informatie over de structuur van het bericht dat wel. Met behulp van deze patronen is het mogelijk om gedeeltelijk of volledig de inhoud van versleutelde berichten te onthullen, aldus de onderzoekers.