Ein deutscher IT-Experte hat eine sehr einfache Methode entdeckt, den Passwort-Schutz von Word-Dokumenten auszuhebeln. Entdeckt hat das Phänomen Thorsten Delbrouck, CIO des Infineon-Ablegers Guardeonic. Am zweiten Januar hat er den Effekt in einem Posting der Security-Mailingliste „SecurityFocus“ dokumentiert. Es handelt sich um eine Eigenart der Funktion „Kennwort zum Ändern“ in Word. Ist dafür ein Passwort vergeben, kann das Dokument zwar von jedem geöffnet, aber nicht verändert werden. Laut Delbrouck reicht aber ein simpler Hex-Editor, um das Passwort zu entfernen. Die Datei kann dann geändert und mit einem neuen oder auch dem gleichen Passwort versehen werden. Da ein Empfänger der Datei weiterhin meint, ein geschütztes Dokument erhalten zu haben, fällt die Manipulation nicht auf.
Vor der Veröffentlichung hat Delbrouck Ende November mit Microsoft Kontakt aufgenommen. Das Resultat war ein Artikel in Microsofts Knowledge Base. Darin heißt es wörtlich, die Funktion sei „nicht gedacht um die Sicherheit zu erhöhen“. Gegenüber Delbrouck gab das Unternehmen weiter an, diese Funktion sei „nicht als idiotensicherer Schutz vor Manipulationen oder gefälschten Absendern gedacht, es ist vielmehr eine Funktion, die irrtümliche Änderungen an einem Dokument verhindern soll“. Wer echten Schutz benötige, solle die Funktion „Kennwort zum Öffnen“ verwenden.
Thorsten Delbrouck sieht das in seiner täglichen Arbeit etwas anders. So erhält er beispielsweise von Dell als einem seiner Lieferanten Angebote in einem Word-Dokument, das gegen Änderungen geschützt ist. Laut dem CIO könnte er die Preise leicht in seinem Sinne gestalten, das Angebot dann ausdrucken, unterschreiben, und als Bestellung faxen. „Wir könnten dann leicht vor Gericht landen. Ein Sachverständiger würde sich das Dokument ansehen und feststellen, dass es durch ein Passwort geschützt ist, das der Kunde nicht kennen konnte. Da der Schutz noch aktiv ist und das Passwort nicht geändert wurde, würde er annehmen, das Dokument wäre nicht geändert worden“.
Der Entdecker der Lücke sieht kein Gegenmittel und hat Dell bereits die Verwendung von PDF-Dokumenten und digitalen Signaturen empfohlen. Da Microsoft das Dateiformat von Word ändern müsste, sieht Delbrouck auch keine generelle Lösung des Problems, wenn das Format abwärtskompatibel bleiben soll. Daher, so Delbrouck, müsse der Konzern die Sache natürlich herunterspielen.
Neueste Kommentare
5 Kommentare zu Sicherheitslücke in Microsoft Word
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Uraltes Problem, nicht nur in Word
Dieses Problem besteht mindestens seit Office’95. Es gibt genügend Freeware oder kommerzielle Produkte für Windows und Linux, die mit Passwörter geschützte Dokumente öffnen können.
Gleiches Problem besteht auch bei Office-Produkten anderer Hersteller und auch z.B. Pdf- oder Zip-Dateien sind nicht beiweitem nicht so sicher wie oft dargestellt wird.
Also eigendlich keine Nachricht von Wert.
Ismalso
selbst Schuld
Angebote als WORD-DOC zu versenden ist kein besonders "schlauer" Weg. Wenn es um so relevante Infos geht, sollte auch das Dokument entsprechende Merkmale wie z.B. dig. Signatur etc. enthalten
Wer lesen kann ist klar im Vorteil !!!!
MS Dokumentiert: Man hat mit dieser Funktion die Möglichkeit das Dokument
unter einem anderen Namen abzuspeichern. Also ist die Aussage "es dient nur zur Vermeidung von versehentlicher Änderung" durchaus
richtig. Wir setzen dies nur für diesen Zweck ein, Als CIO sollte man für Kritische Daten schon eine etwas raffiniertere Methode finden
seine Daten zu schützen. Also wie immer was diese Thematik angeht. Viel Wind um nichts.
Was ist daran neu?
Das Problem mit dem Passwort ist aber schon seit längerem bekannt.
Das wurde bereits vor über einem Jahr in irgendeinem Forum publiziert.
Ich weiss das deshalb so genau da dies einer der Gründe gewesen ist warum wir in unserem Unternehmen ein anderes Office – System einsetzen.
It’s not a bug it’s a feature
Die übliche Methode mit Sicherheitslücken umzugehen, es als tolles Feature zu erklären.
Wo sind eigentlich die Ergebnisse des angeblichen Entwicklungsstop zugunsten von Verbesserung der Sicherheit?
Die wurde wohl eher für Kampagnen gegen Systeme gebraucht
http://www.zdnet.de/news/software/0,39023144,39118721,00.htm?h
, die sich wirklich für echte Sicherheit interessieren.