Newsgroup: it.comp.sicurezza.windows
Titolo: Outlook e S/MIME

Saluti a tutti,
giocherellando con certificati digitali X.509 ed Outlook mi sono
scontrato con un comportamento strano di Outlook (2000 e 2003).
In particolare mi sono reso conto che se una mail inviata da un
determinato account (es: 
pi...@cartoonia.it
) viene firmata con un
certifcato X.509 all'interno del quale è presente un indirizzo mail
differente (es: 
pl...@cartoonia.it
) senza che sia anche presente il
primo indirizzo mail, Outlook segnala la firma come valida senza
sollevare alcun warning.
Di contro utilizzando Mozilla Thunderbird viene giustamente fatto notare
che "Anche se la firma digitale è valida, non è possibile stabilire se
l'autore e il mittente siano la stessa persona. L'indirizzo email del
firmatario indicato nel certificato è differente dall'indirizzo
utilizzato per spedire questo messaggio."
Outlook express, invece, mostra il warning indicando che la firma è
valida ma mittente e firmatario non sono la stessa persona...
Saluti,
-- 
Il f0rz 


Sono *regolarmente* patchati?...
Stefano

 Stefano
Saluti,
-- 
Il f0rz

 sotto mano. 
Anche Outlook 2003 è aggiornato con l'ultimo SP e le ultime patch. Lo 
stesso problema si riscontra con OWA 2003.
Saluti,
-- 
Il f0rz

 ha scritto nel messaggio
news:Xns9630702E9A17...@192.168.0.141...

Beh...io adopero Outlook Express con i certificati digitali e non ho mai
avuto problemi di sorta.
Comunque, Outlook da sempre crea casini con tutto ciò che a che fare con la
sicurezza. Specialmente per le firme digitali ;-)
Prova a fare un salto sulla knowledge base di Office...sono sicuro che 
troverai qualcosa...
A proposito, durante l'enrollment per un certificato digitale non si può 
adoperare un indirizzo e-mail diverso da quello che si intende adoperare, 
pena la non installabilità del certificato digitale su quell'account; come è 
possibile che ci siano due indirizzi e-mail sul certificato?
Stefano

 certificato? 
Quando generi il certificato puoi inserire all'interno uno o più 
indirizzi mail... non ci vedo niente di strano o anomalo, ma non è questo 
il caso: io appongo la firma con un certificato che ha dentro un solo 
indirizzo mail (peccato che non sia l'indirizzo mail mittente del 
messaggio)



beh, forse dipende dal fatto che io non me li genero da solo ma li chiedo a
Verisign la quale verifica bene prima di rilasciarlo (quindi inserisce un
solo indirizzo email)
Comunque mi pare strano che una svista così madornale non sia stata
contemplata da Microsoft e sono sicuro (spero) che sulla knowledge base ci
sia qualcosa...mi sembra un bug enorme...
Stefano

 base ci sia qualcosa...mi sembra un bug enorme...
Su KN non so se ci sia qualcosa... Per quanto riguarda la svista, invece,  
Microsoft e la crittografia (o sicurezza in genere) non sono mai andati 
gran che d'accordo, quindi non mi meraviglierebbe una "svista" del genere 
^_^


 gran che d'accordo, quindi non mi meraviglierebbe una "svista" del genere
Be, come dissentire?
Scherzi a parte, ricordo di aver sentito svariate volte che c'erano dei bug 
risolti tramite hotfixes e/o servicepacks...quindi un controllino lo farei; 
controllerei anche la KB Verisign..mi pare di ricordare qualcosa...
Stefano