Outlook có thể không mã hóa email của bạn nếu sử dụng mã hóa S/MIME

Người dùng sử dụng Microsoft Outlook để gửi email mã hóa thông qua chuẩn S/MIME có thể sẽ bị rò rỉ thông tin do lỗi trên Outlook.

Vấn đề là Oulook gửi email cả dưới dạng mã hóa và không mã hóa. Kẻ tấn công dòm ngó traffic email có thể đọc nội dung những email này. Lỗi này chỉ xảy ra trong một số hoàn cảnh nhất định dưới đây.

• Chỉ email mã hóa bằng chuẩn mã hóa khóa công khai bị ảnh hưởng, trừ PGP/GPG.
• Chỉ xảy ra với email gửi bằng Outlook, chứ không phải mail nhận.
• Chỉ xảy ra với email Outlook gửi bằng plain text. Thiết lập mặc định của Outlook là dùng định dạng HTML.
• Xảy ra khi người dùng cố mã hóa email phản hồi cho email plain text. Outlook tự động thay đổi định dạng HTML mặc định sang plain text khi phản hồi lại email như vậy.
• Sử dụng Outlook bằng máy chủ SMTP.
• Một máy chủ nhảy tới Outlook client dùng cấu trúc Microsoft Exchange. Điều này giới hạn việc rò rỉ email đã mã hóa trong mạng công ty. Phải tắt TLS để email giao tiếp được.
• Xảy ra trên email client của người nhận. Do email client hiển thị nội dung xem trước email, kẻ tấn công có thể xem nội dung email được mã hóa ngay cả khi không có key mã hóa. Ví dụ, kẻ tấn công có mật khẩu email nhưng không có key S/MIME vẫn có thể đọc được nội dung nhận, gửi chạy phần cài đặt bị lỗi của Outlook.

Dù chỉ giới hạn trong những tình huống trên thì việc rò rỉ này vẫn là vấn đề nhạy cảm. Các công ty thường sử dụng cách mã hóa để bảo vệ thông tin nhạy cảm chia sẻ qua email. Nhiều báo cáo lỗi, lỗ hổng cũng dùng định dạng mã hóa.

Mã hóa S/MIME có thể vẫn không bảo vệ được email của bạn trong Outlook

Microsoft im tiếng về ảnh hưởng thực sự

Các nhà nghiên cứu tại SEC Consult vô tình phát hiện ra việc rò rỉ qua email mã hóa bằng S/MIME vào đầu năm nay. Một người dùng khác cũng báo cáo vấn đề tương tự tới diễn đàn Microsoft 1 tháng sau đó.

Các nhà nghiên cứu cho biết họ đã liên hệ với Microsoft để báo lỗi và công ty cũng đã khắc phục vào hôm qua, trong bản vá ngày thứ ba, CVE-2017-11776. Microsoft không tiết lộ bản Outlook nào bị ảnh hưởng, nghĩa là nó có thể ảnh hưởng mọi phiên bản.

Xem thêm:
Cách mã hóa email trên Microsoft Outlook