Sicherheitslücke in Microsoft Word

Ein deutscher IT-Experte hat eine sehr einfache Methode entdeckt, den Passwort-Schutz von Word-Dokumenten auszuhebeln. Microsoft spielt das Problem herunter.

Ein deutscher IT-Experte hat eine sehr einfache Methode entdeckt, den Passwort-Schutz von Word-Dokumenten auszuhebeln. Entdeckt hat das Phänomen Thorsten Delbrouck, CIO des Infineon-Ablegers Guardeonic. Am zweiten Januar hat er den Effekt in einem Posting der Security-Mailingliste „SecurityFocus“ dokumentiert. Es handelt sich um eine Eigenart der Funktion „Kennwort zum Ändern“ in Word. Ist dafür ein Passwort vergeben, kann das Dokument zwar von jedem geöffnet, aber nicht verändert werden. Laut Delbrouck reicht aber ein simpler Hex-Editor, um das Passwort zu entfernen. Die Datei kann dann geändert und mit einem neuen oder auch dem gleichen Passwort versehen werden. Da ein Empfänger der Datei weiterhin meint, ein geschütztes Dokument erhalten zu haben, fällt die Manipulation nicht auf.

Vor der Veröffentlichung hat Delbrouck Ende November mit Microsoft Kontakt aufgenommen. Das Resultat war ein Artikel in Microsofts Knowledge Base. Darin heißt es wörtlich, die Funktion sei „nicht gedacht um die Sicherheit zu erhöhen“. Gegenüber Delbrouck gab das Unternehmen weiter an, diese Funktion sei „nicht als idiotensicherer Schutz vor Manipulationen oder gefälschten Absendern gedacht, es ist vielmehr eine Funktion, die irrtümliche Änderungen an einem Dokument verhindern soll“. Wer echten Schutz benötige, solle die Funktion „Kennwort zum Öffnen“ verwenden.

Thorsten Delbrouck sieht das in seiner täglichen Arbeit etwas anders. So erhält er beispielsweise von Dell als einem seiner Lieferanten Angebote in einem Word-Dokument, das gegen Änderungen geschützt ist. Laut dem CIO könnte er die Preise leicht in seinem Sinne gestalten, das Angebot dann ausdrucken, unterschreiben, und als Bestellung faxen. „Wir könnten dann leicht vor Gericht landen. Ein Sachverständiger würde sich das Dokument ansehen und feststellen, dass es durch ein Passwort geschützt ist, das der Kunde nicht kennen konnte. Da der Schutz noch aktiv ist und das Passwort nicht geändert wurde, würde er annehmen, das Dokument wäre nicht geändert worden“.

Der Entdecker der Lücke sieht kein Gegenmittel und hat Dell bereits die Verwendung von PDF-Dokumenten und digitalen Signaturen empfohlen. Da Microsoft das Dateiformat von Word ändern müsste, sieht Delbrouck auch keine generelle Lösung des Problems, wenn das Format abwärtskompatibel bleiben soll. Daher, so Delbrouck, müsse der Konzern die Sache natürlich herunterspielen.

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

5 Kommentare zu Sicherheitslücke in Microsoft Word

Kommentar hinzufügen
  • Am 8. Januar 2004 um 21:59 von egal

    It’s not a bug it’s a feature
    Die übliche Methode mit Sicherheitslücken umzugehen, es als tolles Feature zu erklären.

    Wo sind eigentlich die Ergebnisse des angeblichen Entwicklungsstop zugunsten von Verbesserung der Sicherheit?

    Die wurde wohl eher für Kampagnen gegen Systeme gebraucht

    http://www.zdnet.de/news/software/0,39023144,39118721,00.htm?h

    , die sich wirklich für echte Sicherheit interessieren.

  • Am 9. Januar 2004 um 7:48 von Tutnix Zursache

    Was ist daran neu?
    Das Problem mit dem Passwort ist aber schon seit längerem bekannt.
    Das wurde bereits vor über einem Jahr in irgendeinem Forum publiziert.
    Ich weiss das deshalb so genau da dies einer der Gründe gewesen ist warum wir in unserem Unternehmen ein anderes Office – System einsetzen.

  • Am 9. Januar 2004 um 12:46 von Johannes Thomandl

    Wer lesen kann ist klar im Vorteil !!!!
    MS Dokumentiert: Man hat mit dieser Funktion die Möglichkeit das Dokument
    unter einem anderen Namen abzuspeichern. Also ist die Aussage "es dient nur zur Vermeidung von versehentlicher Änderung" durchaus
    richtig. Wir setzen dies nur für diesen Zweck ein, Als CIO sollte man für Kritische Daten schon eine etwas raffiniertere Methode finden
    seine Daten zu schützen. Also wie immer was diese Thematik angeht. Viel Wind um nichts.

  • Am 9. Januar 2004 um 13:58 von Andreas

    selbst Schuld
    Angebote als WORD-DOC zu versenden ist kein besonders "schlauer" Weg. Wenn es um so relevante Infos geht, sollte auch das Dokument entsprechende Merkmale wie z.B. dig. Signatur etc. enthalten

  • Am 9. Januar 2004 um 17:39 von Ismalso

    Uraltes Problem, nicht nur in Word
    Dieses Problem besteht mindestens seit Office’95. Es gibt genügend Freeware oder kommerzielle Produkte für Windows und Linux, die mit Passwörter geschützte Dokumente öffnen können.

    Gleiches Problem besteht auch bei Office-Produkten anderer Hersteller und auch z.B. Pdf- oder Zip-Dateien sind nicht beiweitem nicht so sicher wie oft dargestellt wird.

    Also eigendlich keine Nachricht von Wert.

    Ismalso

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *