Roberto Franceschetti berichtet, in Microsofts Mail-Software Outlook ein bedenkliches Fehlverhalten im Umgang mit digitalen Signaturen gefunden zu haben. Demnach könne man digital signierte E-Mails ändern, ohne dass Outlook eine Warnung ausgebe. Vielmehr stufe die Software die Signatur weiterhin als vertrauenswürdig ein, obwohl Franceschetti die Absenderadresse der E-Mail geändert hatte.
Seine Formulierung, er habe den "Inhalt der Mail" geändert, ist dabei missverständlich. Änderungen am signierten Teil der Mail, zu dem unter anderem der Text gehört, quittiert Outlook sehr wohl mit einer Warnung. Franceschetti moniert jedoch, dass Outlook die Absenderadresse im Header der Mail nicht für die Bewertung der Gültigkeit der Signatur heranzieht. Statt dessen zeigt das Mail-Programm in einer separaten "Signed by"-Zeile an, wer die Unterschrift geleistet hat. Diese beiden Angaben müssen nicht übereinstimmen damit Outlook die Signatur akzeptiert. So ist es möglich, nachträglich die Absenderadresse einer digital signierten Mail von "Roberto Franceschetti (roberto@logsat.com)" beispielsweise auf "Hackers Franceschetti (hackers@logsat.com)" zu ändern. Überprüft der Empfänger die Unterschrift, zeigt Outlook eine gültige Signatur für eine Mail, die angeblich von "Hackers Franceschetti" stammt.
Franceschetti hat nach eigenen Angaben Microsoft bereits im Oktober 2004 informiert, doch der Software-Konzern hat das Verhalten trotz ausführlicher Mail-Kommunikation nicht geändert. Vielmehr sind sich die beiden Parteien uneins, ob Microsoft in diesem Fall überhaupt tätig werden müsse -- obwohl beispielsweise Microsofts "kleines" Mail-Programm Outlook Express bei gleichartig modifizierten E-Mails durchaus Alarm schlägt.
Quelle :
www.heise.de
