Hace un tiempo, escribí un post(Shocked by an Android) alabando a Samsung por soportar RMS en su cliente de correo nativo Microsoft Exchange ActiveSync para Android. Hoy, sin embargo, estoy aquí para informar sobre un fallo de seguridad que hemos descubierto en esa implementación de RMS.
Con RMS, como con cualquier aplicación cliente-servidor, la seguridad depende del eslabón más débil de las aplicaciones software , tanto en el lado del cliente como en el del servidor. Microsoft proporciona a terceros herramientas para crear aplicaciones cliente compatibles con RMS, pero depende de esos terceros implementar RMS de forma que proteja su información confidencial. He aquí una explicación del fallo que hemos descubierto en la implementación de Samsung.
1. Caroline Bingley (usuario A) redacta un mensaje de correo electrónico, le aplica la protección de derechos mediante la opción integrada "No reenviar" o una plantilla de política de derechos y lo envía a Jane Bingley (usuario B).
2. Jane abre el mensaje de correo electrónico en su teléfono o tableta Samsung utilizando el cliente nativo Samsung Exchange ActiveSync.
3. Jane hace clic en la fecha del mensaje (véase la flecha roja, arriba) del mensaje de correo electrónico, lo que genera automáticamente una invitación de calendario con el mensaje adjunto.
4. Jane añade varios participantes a la invitación del calendario y hace clic en Guardar.
5. Elizabeth Darcy (usuario C) abre sus diferentes buzones de correo electrónico (Outlook Exchange, Yahoo, Hotmail y Gmail) para encontrar invitaciones de calendario sin cifrar junto con el mensaje confidencial del correo electrónico de Caroline.
La brecha de seguridad se introdujo en el punto en el que Samsung permitió a Jane crear una invitación de calendario no protegida por derechos a partir del correo electrónico protegido por derechos e incluyó el cuerpo del mensaje en la invitación de calendario. ¿Qué debería hacer la aplicación de Samsung en su lugar? En un mundo ideal, el comportamiento se basaría en los derechos concedidos en el correo electrónico. Si el destinatario tuviera derechos de reenvío, se le permitiría crear una invitación de calendario, la invitación de calendario conservaría las protecciones de derechos y se conservaría el cuerpo del mensaje. Si el destinatario no tuviera derechos de reenvío, se desactivaría la opción de crear una invitación de calendario desde el correo electrónico protegido por derechos. Sin embargo, no vivimos en un mundo perfecto y, dado que Microsoft no admite la protección de derechos en las invitaciones de calendario, no podemos esperar que Samsung lo haga. Teniendo esto en cuenta, hay dos posibles comportamientos aceptables en esta situación:
- La opción de crear una invitación de calendario a partir de un mensaje de correo electrónico protegido por derechos está desactivada; o bien
- Se permite al usuario crear una invitación al calendario a partir de un mensaje de correo electrónico protegido por derechos, pero el cuerpo del mensaje de correo electrónico no se incluye en la invitación al calendario.
Lo hemos probado con varias versiones de la aplicación Android de Samsung, incluida la última versión disponible actualmente para los consumidores, y en todas ellas se ha detectado este problema. Esperamos que Samsung lo corrija en una futura versión. Si descubrimos que lo han hecho, te lo haremos saber.
