Il y a quelques temps, j'ai écrit un article(Shocked by an Android) dans lequel je chantais les louanges de Samsung pour la prise en charge de RMS dans son client de messagerie Microsoft Exchange ActiveSync natif pour Android. Aujourd'hui, cependant, je suis ici pour signaler une faille de sécurité que nous avons découverte dans cette implémentation de RMS.
Avec RMS, comme avec toute application client-serveur, votre sécurité est limitée au maillon le plus faible des applications software , tant du côté du client que du côté du serveur. Microsoft fournit à des tiers des outils pour créer des applications client compatibles avec RMS, mais c'est à ces tiers qu'il incombe de mettre en œuvre RMS de manière à protéger vos informations confidentielles. Voici une explication de la faille que nous avons découverte dans l'implémentation de Samsung.
1. Caroline Bingley (utilisateur A) rédige un message électronique, y applique des protections de droits à l'aide de l'option intégrée "Ne pas transférer" ou d'un modèle de politique de droits, et envoie ce message à Jane Bingley (utilisateur B).
2. Jane ouvre le message électronique sur son téléphone ou sa tablette Samsung à l'aide du client Samsung Exchange ActiveSync natif.
3. Jane clique sur la date du message (voir la flèche rouge ci-dessus) de l'e-mail, ce qui génère automatiquement une invitation au calendrier avec le message en pièce jointe.
4. Jane ajoute plusieurs participants à l'invitation du calendrier et clique sur Enregistrer.
5. Elizabeth Darcy (utilisateur C) ouvre ses différentes boîtes aux lettres électroniques (Outlook Exchange, Yahoo, Hotmail et Gmail) pour y trouver des invitations non cryptées au calendrier, accompagnées du message confidentiel de l'e-mail de Caroline.
La faille de sécurité a été introduite au moment où Samsung a permis à Jane de créer une invitation à un calendrier non protégé par des droits à partir de l'e-mail protégé par des droits et a inclus le corps du message dans l'invitation au calendrier. Que devrait faire l'application Samsung à la place ? Dans un monde idéal, le comportement serait basé sur les droits accordés dans l'e-mail. Si le destinataire dispose de droits de transmission, il est autorisé à créer une invitation au calendrier, l'invitation au calendrier conserve les droits protégés et le corps du message est conservé. Si le destinataire n'a pas les droits de transfert, l'option de création d'une invitation au calendrier à partir de l'e-mail protégé par les droits est désactivée. Cependant, nous ne vivons pas dans un monde parfait, et puisque Microsoft ne prend pas en charge les protections de droits sur les invitations au calendrier, nous ne pouvons pas attendre de Samsung qu'il le fasse. Dans ces conditions, il y a deux comportements acceptables possibles dans cette situation :
- L'option permettant de créer une invitation au calendrier à partir d'un message électronique protégé par des droits est désactivée ; ou
- L'utilisateur est autorisé à créer une invitation au calendrier à partir d'un message électronique dont les droits sont protégés, mais le corps du message électronique n'est pas inclus dans l'invitation au calendrier.
Nous avons testé ce problème avec plusieurs versions de l'implémentation Android de Samsung, y compris la dernière version actuellement disponible pour les consommateurs, et nous avons constaté qu'il s'agissait d'un problème dans chacune d'entre elles. Nous espérons que Samsung corrigera ce problème dans une prochaine version. Si nous découvrons que c'est le cas, nous vous le ferons savoir.
