Ikhtisar
Perkhidmatan awan Microsoft (yang termasuk OneDrive, Sharepoint dan lain-lain) sedang membuka dan melihat ke dalam kandungan fail Zip yang dilindungi kata laluan yang disimpan pada pelayan mereka. Ini jelas menimbulkan kebimbangan privasi kepada sesiapa sahaja yang menggunakan sistem mereka.
Sudah lama diketahui bahawa Microsoft telah membuka fail Zip termampat untuk menyemak perisian hasad dan virus, dsb., tetapi jika anda ingin menyimpan pembekal perkhidmatan daripada melihat kandungan fail, anda akan menyulitkannya.
Bagaimanakah kita tahu bahawa Microsoft sedang mengimbas kandungan fail Zip? Pakar keselamatan Andrew Brandt, penyelidik keselamatan utama di Sophos, berkongsi penemuannya dalam siaran di Mastodon.
Nah, nampaknya #microsoft #Sharepoint kini mempunyai keupayaan untuk mengimbas dalam arkib zip yang dilindungi kata laluan.
Bagaimana saya tahu? Kerana saya mempunyai banyak Zip (disulitkan dengan kata laluan) yang mengandungi perisian hasad dan kaedah biasa saya berkongsinya adalah dengan memuat naik Zip yang dikunci kata laluan itu ke dalam direktori Sharepoint.
Pagi ini, saya mendapati bahawa beberapa Zip yang dilindungi kata laluan dibenderakan sebagai”Hasad dikesan”yang mengehadkan perkara yang boleh saya lakukan dengan fail tersebut – ia pada dasarnya adalah ruang kosong sekarang.
Dalam artikel dalam Ars Technica, Kevin Beaumont, rakan penyelidik, mengesahkan bahawa Microsoft bukan sahaja mengimbas fail Zip yang dilindungi kata laluan dalam Sharepoint tetapi dalam semua perkhidmatan awan 365nya.
Sudah tentu, Microsoft tidak mengeluarkan notis atau penjelasan mengenai mengapa ia mengimbas fail Zip yang dilindungi kata laluan tetapi kami boleh menganggap ia adalah untuk mencari kandungan yang dijangkiti. Tetapi siapa tahu – mereka boleh mengimbas lebih banyak lagi!
Pelanggan Microsoft menggunakan fail yang disulitkan untuk menyimpan maklumat peribadi atau untuk bertukar maklumat dengan selamat melalui Internet. Microsoft mengimbas dan meneroka fail ini membimbangkan. Tambahan pula, Microsoft mungkin dikehendaki berkongsi maklumat ini dengan agensi kerajaan. Ini adalah kebimbangan privasi yang jelas untuk pelanggan yang membayar Microsoft untuk perkhidmatan mereka!
Apa Lagi yang Microsoft Scanning?
Satu-satunya sebab kami tahu Microsoft menyahsulitkan fail Zip yang dilindungi kata laluan ialah mereka sedang mengalih keluar kandungan yang dijangkiti dengan pengesan perisian hasad mereka. Tetapi, apa lagi yang diimbas oleh Microsoft? Adakah mereka mengimbas dokumen Word yang dilindungi kata laluan? Fail Excel yang dilindungi kata laluan dan dokumen Office lain? Program arkib yang dilindungi kata laluan lain seperti 7-Zip dan RAR? Jika ya, apakah yang mereka lakukan dengan maklumat ini?
Bagaimanakah Microsoft Menyahsulit Fail Zip?
Memandangkan Microsoft tidak mengeluarkan sebarang notis tentang apa, bagaimana, atau mengapa mereka mengimbas kata laluan-fail yang disulitkan, kami tidak tahu dengan tepat. Tetapi kami boleh membuat beberapa andaian:
Pertama, Microsoft mungkin melakukan kekerasan yang menyahsulit fail yang disulitkan. Fail zip mempunyai dua kaedah penyulitan: penyulitan AES dan penyulitan Zip 2.0/ZipCrypto Standard. Penyulitan Zip 2.0/ZipCripto tidak begitu kuat (malah WinZip menyatakan bahawa ia lemah) dan Microsoft mungkin membuka semua ini serta fail AES kata laluan yang lemah. Brandt menyebut bahawa kata laluannya tidak begitu kuat. Kedua, Microsoft mungkin membaca e-mel atau melihat”petunjuk”yang mungkin diberikan oleh pemilik fail sendiri dalam fail arkib. Beaumont menulis:”Jika anda menghantar sesuatu kepada diri sendiri dan menaip sesuatu seperti’kata laluan ZIP ialah Soph0s’, ZIP ke atas EICAR dan ZIP kata laluannya dengan Soph0s, ia akan mencari (kata laluan), mengekstrak dan mencari (dan memberi suapan pengesanan MS)”Ketiga , Microsoft mungkin menggunakan senarai kata laluan biasa pada fail yang disulitkan kata laluan untuk melihat sama ada ia akan dibuka. Brandt menyatakan bahawa beberapa, tetapi bukan semua, failnya telah dibenderakan sebagai”Hasad dikesan”
Cara Melindungi Privasi Anda Pada Perkhidmatan Dalam Talian Microsoft
Jika anda memilih untuk menyimpan fail yang disulitkan kata laluan, sama ada ia ialah fail Zip, dokumen Office atau jenis fail lain, pada pelayan Microsoft, anda perlu mengambil beberapa langkah berjaga-jaga.
Pertama, apabila diberi pilihan kaedah penyulitan, sentiasa pilih kaedah yang paling kuatKedua, gunakan kata laluan yang kuatKetiga, jangan simpan petunjuk kata laluan dalam nama fail atau nama arkibKeempat, jangan sekali-kali menghantar kata laluan dalam e-mel dengan fail yang disulitkan. Jika boleh, gunakan kaedah yang berasingan untuk menghantar kata laluan daripada menghantar fail. Lebih baik lagi ialah menggunakan beberapa jenis perkhidmatan pemesejan selamat (Isyarat, WhatsApp, dll.) atau perkhidmatan penghantaran selamat ( Bitwarden Send, sebagai contoh) untuk menghantar kata laluan (atau malah fail yang disulitkan kata laluan)
Barisan Bawah
Walaupun Microsoft mungkin berasa wajar untuk membuka dan mengimbas fail yang disulitkan kata laluan untuk virus dan perisian hasad, pengimbasan fail yang disulitkan kata laluan oleh Microsoft adalah salah dan merupakan kebimbangan privasi utama. Pelanggan yang membayar Microsoft layak mendapat yang lebih baik daripada ini. Jika anda pelanggan perkhidmatan awan Microsoft, beritahu saya dalam ulasan tentang perasaan anda tentang Microsoft mengimbas fail anda yang disulitkan.
—