Vor einiger Zeit schrieb ich einen Beitrag(Shocked by an Android), in dem ich Samsung für die Unterstützung von RMS in ihrem nativen Microsoft Exchange ActiveSync-E-Mail-Client für Android lobte. Heute bin ich jedoch hier, um über eine Sicherheitslücke zu berichten, die wir in dieser Implementierung von RMS entdeckt haben.
Wie bei jeder Client-Server-Anwendung sind Sie auch bei RMS nur so sicher wie das schwächste Glied der software Anwendungen, sowohl auf der Client- als auch auf der Serverseite. Microsoft stellt Drittanbietern Tools zur Verfügung, mit denen sie RMS-fähige Client-Anwendungen erstellen können, aber es liegt an diesen Drittanbietern, RMS so zu implementieren, dass Ihre vertraulichen Informationen geschützt sind. Hier finden Sie eine Erläuterung der Schwachstelle, die wir in der Implementierung von Samsung entdeckt haben.
1. Caroline Bingley (Benutzerin A) verfasst eine E-Mail-Nachricht, versieht sie mit einem Rechteschutz, indem sie entweder die integrierte Option "Nicht weiterleiten" oder eine Richtlinienvorlage verwendet, und sendet diese E-Mail an Jane Bingley (Benutzerin B).
2. Jane öffnet die E-Mail-Nachricht auf ihrem Samsung-Smartphone oder -Tablet mit dem nativen Samsung Exchange ActiveSync-Client.
3. Jane klickt auf das Nachrichtendatum (siehe roter Pfeil oben) der E-Mail-Nachricht, wodurch automatisch eine Kalendereinladung mit der angehängten Nachricht erzeugt wird.
4. Jane fügt der Kalendereinladung mehrere Teilnehmer hinzu und klickt auf Speichern.
5. Elizabeth Darcy (Benutzer C) öffnet ihre verschiedenen E-Mail-Postfächer (Outlook Exchange, Yahoo, Hotmail und Gmail) und findet unverschlüsselte Kalendereinladungen mit der vertraulichen Nachricht aus Carolines E-Mail.
Die Sicherheitslücke wurde an dem Punkt eingeführt, an dem Samsung Jane erlaubte, eine nicht rechtegeschützte Kalendereinladung aus der rechtegeschützten E-Mail zu erstellen und den Nachrichtentext in die Kalendereinladung aufzunehmen. Was sollte die Samsung-Anwendung stattdessen tun? In einer idealen Welt würde sich das Verhalten an den in der E-Mail gewährten Rechten orientieren. Wenn der Empfänger über Weiterleitungsrechte verfügt, könnte er eine Kalendereinladung erstellen, die Kalendereinladung würde den Rechte-Schutz beibehalten und der Nachrichtentext würde beibehalten. Hätte der Empfänger keine Weiterleitungsrechte, wäre die Option zum Erstellen einer Kalendereinladung aus der E-Mail mit den geschützten Rechten deaktiviert. Wir leben jedoch nicht in einer perfekten Welt, und da Microsoft den Rechteschutz für Kalendereinladungen nicht unterstützt, können wir dies auch nicht von Samsung erwarten. In Anbetracht dessen gibt es zwei mögliche akzeptable Verhaltensweisen in dieser Situation:
- Die Option zum Erstellen einer Kalendereinladung aus einer E-Mail-Nachricht mit geschützten Rechten ist deaktiviert; oder
- Der Benutzer kann eine Kalendereinladung aus einer E-Mail-Nachricht mit geschützten Rechten erstellen, aber der Text der E-Mail-Nachricht ist nicht in der Kalendereinladung enthalten.
Wir haben dies mit mehreren Versionen der Samsung-Android-Implementierung getestet, einschließlich der neuesten Version, die derzeit für Verbraucher verfügbar ist, und haben festgestellt, dass dieses Problem bei allen Versionen auftritt. Wir hoffen, dass Samsung dieses Problem in einer zukünftigen Version beheben wird. Wenn dies der Fall ist, werden wir Sie darüber informieren.
