Die E-Mail-Verschlüsselung von Microsoft 365 setzt auf AES in einem unsicheren Modus. Dadurch können Rückschlüsse auf die Inhalte gezogen werden.

Mit der Office 365 Message Encryption (OME) von Microsoft sollen ...

verschlüsselte E-Mail-Nachrichten zwischen Personen innerhalb und außerhalb Ihres Unternehmens zu senden und zu empfangen

... sein. Doch laut der Sicherheitsfirma Withsecure ist die eingesetzte Technik für diesen Zweck ungeeignet. Zuerst hatte das Onlinemagazin The Register berichtet.

So werde bei der Verschlüsselung mit AES auf den unsicheren ECB-Modus (Electronic Code Book Mode) gesetzt. Ist der Klartext zweier Blöcke in diesem Modus identisch, so sind dies auch die verschlüsselten Blöcke. Bei Bildern führen die selben Pixel-Blöcke entsprechend auch zu identischen verschlüsselten Blöcken. Dadurch kann ein Bild zumindest grob wieder sichtbar gemacht werden, wie es bereits vor vielen Jahren mit einem Bild des Linux-Maskottchens Tux demonstriert wurde. Die Strukturen des Bildes sind auch bei Verschlüsselung im ECB-Modus weiterhin gut zu erkennen.

Entsprechend gilt der ECB-Modus als unsicher und sollte nicht für die Verschlüsselung von Daten eingesetzt werden. Laut der US-Standardisierungsbehörde NIST ...

stellt die Verwendung von ECB zur Verschlüsselung vertraulicher Informationen eine ernsthafte Sicherheitslücke dar