WithSecure เตือน! กลไกเข้ารหัสของ Office 365 แฮ็กได้ง่ายมาก

นักวิชาการจากบริษัทด้านความปลอดภัยทางไซเบอร์ WithSecure ได้ออกประกาศเตือนผู้ใช้ Office 365 ว่า ระบบเข้ารหัสข้อความเมล Microsoft Office 365 Message Encryption (OME) สามารถโดนแฮ็กถอดรหัสได้ง่ายโดยไม่ต้องมีคีย์

ฟีเจอร์นี้อยู่ในชุด Office 365 ที่ให้ลูกค้าองค์กรส่งข้อความแบบเข้ารหัสในรูปของไฟล์แนบ HTML ในอีเมลได้ ซึ่งไมโครซอฟท์โฆษณาว่ามีประโยชน์มากในการส่งต่อข้อมูลที่เป็นความลับ อย่างเช่น ข้อมูลทางการแพทย์

แต่ทาง WithSecure ระบุว่า ฟีเจอร์นี้ใช้กลไกเข้ารหัสที่ยังไม่ปลอดภัยเพียงพอ ทำให้ผู้ไม่หวังดีเข้ามาจัดการข้อความได้ ข้อความแบบ OME นี้ถูกสร้างขึ้นด้วย Electronic Codebook (ECB) ที่แบ่งส่วนข้อความออกเป็น Cipher Block ย่อยๆ

แต่ละบล็อกจะถูกเข้ารหัสด้วยคีย์ที่จัดเก็บและจัดการโดยไมโครซอฟท์เอง ผ่านตัว Azure Rights Management (Azure RMS) แต่การที่จำนวนบล็อกของข้อความก่อนเข้ารหัสเหมือนกับหลังเข้ารหัสเป๊ะๆ จึงสามารถนำไปเดาต่อได้ง่าย โดยเฉพาะกับอีเมลที่มีเฮดเดอร์ฟุตเตอร์มาตรฐาน

อ่านเพิ่มเติมที่นี่ – ITPro