Outlook posiblemente no estaba cifrando tus mensajes al utilizar S/MIME

S/MIME (Extensiones seguras multipropósito al correo de Internet) es un protocolo que se utiliza para firmar y cifrar los mensajes que se envían por correo electrónico. Con esto ayuda a los usuarios a que estén seguros de que los mensajes que lleguen, no hayan sido alterados por personas ajenas al correo.

Outlook presento una falla de seguridad, en la cual permitía que los correos que se enviaran no fueran cifrados. Pero este fallo se presenta en ciertos casos:

• “Sólo se afectan los correos electrónicos cifrados con el estándar de cifrado de clave pública S / MIME , pero no PGP / GPG.

• La fuga de correos electrónicos cifrados ocurre sólo para los correos electrónicos enviados con Outlook, no recibidos en Outlook.

• La fuga se produce sólo para los correos electrónicos de Outlook enviados en texto plano. La configuración predeterminada de Outlook es utilizar el formato HTML.

• La filtración también ocurre cuando los usuarios intentan cifrar las respuestas a correos electrónicos de texto plano. Outlook cambia automáticamente el formato HTML predeterminado al texto sin formato al responder a dichos mensajes de correo electrónico.

• La pérdida se produce todo el tiempo si el usuario utiliza Outlook con un servidor SMTP.

• La fuga se produce sólo un salto de servidor para los clientes de Outlook que utilizan la infraestructura de Microsoft Exchange. Esto limita la filtración de correos electrónicos cifrados dentro de la red de una empresa. TLS también debe estar deshabilitado para las comunicaciones por correo electrónico.

• También se produce una fuga en el cliente de correo electrónico del destinatario. Dado que los clientes de correo electrónico muestran las previsualizaciones de los mensajes de correo electrónico, un atacante puede ver el contenido del mensaje cifrado aunque no tenga acceso a la clave privada de cifrado del destinatario. Por ejemplo, un atacante que obtuvo acceso a la contraseña de correo electrónico de una víctima pero no a su clave privada S / MIME puede leer algunos de los mensajes cifrados recibidos por la víctima, enviados por usuarios que ejecutan instalaciones de Outlook con fugas.”

Este fallo había sido descubierto a comienzos de este año y fue reportado a Microsoft, la cual ha sido corregida con las actualizaciones del mes de Octubre de 2017. Microsoft no comunico las versiones afectadas por este fallo, pero con la actualización cualquier versión posiblemente quedara corregida.

Fuente: Bleepingcomputer