Er åpning av epost usikkert?

[HDSoftware]

Har en diskusjon her på jobben om hvilke retningslinjer man skal ha på programmer som Outlook og slikt når det gjelder visningsrute eller ikke. Noen mener at en visningsrute "åpner" en mail og dermed kan aktivere virus og andre ugreiheter. Selv mener jeg at dette ikke er tilfelle, men for å være på den sikre siden så ville jeg høre med dere her. Hva mener dere? Er det en risikofaktor å ha visningsrute aktivert i epost leseren?

[JohndoeMAKT]

Historisk sett har dine kollegaer rett. Outlook har i mange tilfeller tidligere kunne eksekvert malware i det du rendrer eposten. Det har vært bugs i alt fra JPEG-renderen til JScript-motoren til Zip-dekompressoren til mye annet.

[handerrre]

Stjeler denne tråden litt (beklager for det OP)

Hvordan er det med Gmail? Kan vel ikke få virus av å åpne mail der? (alstå bare åpne, ikke klikke noen linker).

[Syar-2003]

Sikreste er å bruke "plain text".

 

Plain text for preview pane:

http://www.wintellect.com/cs/blogs/jrobbins/archive/2007/01/29/make-outlook-2007-reading-pane-show-plain-text.aspx

 

Men kan være litt plagsomt med mail som er sendt deg som HTML format.

Slik kan det se ut , med OutLook 2003:

Endret 21. desember 2010 av syar2003

[xqus]

Stjeler denne tråden litt (beklager for det OP)

Hvordan er det med Gmail? Kan vel ikke få virus av å åpne mail der? (alstå bare åpne, ikke klikke noen linker).

Med mindre det finnes et sikkerhetshull i nettleseren din, er det enkle svaret nei.

[handerrre]

Stjeler denne tråden litt (beklager for det OP)

Hvordan er det med Gmail? Kan vel ikke få virus av å åpne mail der? (alstå bare åpne, ikke klikke noen linker).

Med mindre det finnes et sikkerhetshull i nettleseren din, er det enkle svaret nei.

 

chrome ? men hvordan kunne det ha skadet med evt. sikkerhetshull? ettersom mailen ikke lagres på pcen og jeg ikke trykker noken link? Eneste muligheten jeg da ser er et skript som automatisk kjører når jeg åpner mailen, men om det går an vet jeg ikke... (?)

[Datasmurfen]

De fleste virus/spyware kan fjernes uten reinstallering, dog i enkelte tilfeller må dette gjennomføres.

Følg anvisningene i signaturen min!

[handerrre]

De fleste virus/spyware kan fjernes uten reinstallering, dog i enkelte tilfeller må dette gjennomføres.

Følg anvisningene i signaturen min!

 

Hvis det er meg du snakker til, har jeg ikke virus Er bare nysgjerrig hvordan det er

[Datasmurfen]

Jeg snakker til trådstarter

[soulless]

Har en diskusjon her på jobben om hvilke retningslinjer man skal ha på programmer som Outlook og slikt når det gjelder visningsrute eller ikke. Noen mener at en visningsrute "åpner" en mail og dermed kan aktivere virus og andre ugreiheter. Selv mener jeg at dette ikke er tilfelle, men for å være på den sikre siden så ville jeg høre med dere her. Hva mener dere? Er det en risikofaktor å ha visningsrute aktivert i epost leseren?

 

Som nevnt før i tråden er det historisk sett en risikofaktor, men når man snakker om best practice for en bedrift må man også vurdere om dette er en funksjonalitet man vurderer som verdifull for bedriften.

 

Som alt annet er det snakk om å håndtere risikoer, men ikke nødvendigvis mitigere dem.

 

Hos oss forsøker vi heller å holde klientene oppdatert mtp. sikkerhetshull samt informerer dem om at det å klikke på lenker er noe man må tenke seg om før man gjør.

 

@handerre

Ang. gmail kan du enkelt idiotsikre deg ved å kjøre FF med noscript add-on. Mulig det finnes noe liknende for chrome, det må du i så fall sjekke selv .

[HDSoftware]

@Datasmurfen: Mitt innledende spørsmål var om usikkerheten med visningsrute i Outlook og hadde ingen ting med installering/avinstallering å gjøre.

 

@soulless: Jeg er klar over tidligere sikkerhetsrisikoer samt risikoen ved å trykke på ting i en mail. Spørsmålet mitt var mere rettet på selve visningsruten og hvorvidt noe kunne bli autostartet i denne. Selv bruker jeg visningsruten i min Outlook og har aldri noen sinne hat virus. Når det er sagt så klikker jeg heller alrdi på linker je får. Greia er at det er sentralbord tjenesten på arbeidsplassen som bruker Outlook til å motta firmaets fakser. Jegt ser det som en fordel for sentralbordet å kunne se hva mailen inneholder fordi vår faks sender faksen som vedlegg til mailen. Blir mye "pes" for personalet å måtte først åpne mailen for så å åpne vedlegget etc. etc. En forhåndsvisning vil jo med en gang gjøre at personen kan videresende med ett enkelt trykk. Dette er årsaken til at jeg startet tråden. Det er jo forbasket masse spam og virus mail om dagen og antispam motoren henger ikek alltid med i svingene. Så hvis konklusjonen er at en forhåndsviser kan starte et virus så er det uaktuelt med dette på sentralbordet. Hvis derimot konklusjonen er at dette IKKE er en risiko så er saken helt annen...

[handerrre]

@handerre

Ang. gmail kan du enkelt idiotsikre deg ved å kjøre FF med noscript add-on. Mulig det finnes noe liknende for chrome, det må du i så fall sjekke selv .

 

hmm, ja er vel en grunn til at jeg stusser mellom FF og chrome synd utvikleren(e) av noscript ikke har utviklet noe til chrome.. fins denne da, men vet ikke om jeg stoler på extensions i chrome.. =/

[KristianSv]

Ser bort fra alle alternative løsninger nevnt her her siden trådstarter spør spesifikt om Outlook preview.

 

Generelt sett: Alle programmer som åpner innhold som kommer fra eksternt er en potensiell angrepsvektor som kan benyttes, det være seg vedlegg, nettsider i en browser osv. Uten at det må være noe som scriptes. Det har for eks vært flere hull opp gjennom i jpeg motorer og alt som trengs da er at bildes vises.

 

Så, det korte svaret er at dersom det finnes et hull i koden som viser mailen, så kan potensielt en mail utformes til å benytte dette hullet bare ved at mottaker mottar en mail. Akkurat dette er som nevnt også tilfelle med en hver nettleser.

 

Men når man ser på IT-sikkerhet er det alltid viktig å se på verdien kontra risikoen og ikke minst hva det faktisk betyr i praksis og ikke bare i teorien, hvis ikke burde man egentlig ikke tillatte noe som helst. Mest sannsynlig vil det å ikke ha forhåndsvisning bare medføre at brukerne klikker på mailen for å lese i eget vindu og så er du like langt. Med den antagelsen kan du jo heller la brukerne benytte forhåndsvisning og potensielt jobbe mer effektivt og lettvint med mailen sin.

 

Jeg har ennå til gode å se en kunde som ikke lar de brukerne som vil det benytte seg av forhåndsvisning.

 

 

Under Trust Center settings vil du også finne en rekke innstillinger som gjør generell visning av epost sikrere. DEP bør f.eks stå på for Outlook. Du kan også stille inn på i hvilken grad bilder det referes til i html mailer skal lastes ned automatisk, f.eks kun fra Trusted Zones i IE.

Det er også verdt å merke seg at under Vista/windows 7 vil epost programmet kun kjøres som standard bruker dersom du har UAC på, noe som er en vesensforskjell fra å ha diskusjonen rundt en XP basert plattform.

Så er det selvsagt andre elementer i totalløsningen som er viktig for å redusere risikoen, slik som antivirus som integreres med outlook, god AV/spam filtrering på egen exchange og potensielt en ekstern "vasking" av mail før den i det hele tatt kommer fram til deres Exchange server. Det er viktig å se på totalbilde når man vurderer risiko, mange har en tendens til å henge seg opp i enkeltinnstillinger når man har slike diskusjoner.

[HDSoftware]

Takker Kristian. Bra svar, og egentlig i samsvar med in egen oppfattelse av problemet. Tror jeg kommer til å slippe litt på dette, eller i allefall se litt på hvordan en forhåndsvisning eksempelvis kunn kan vise tekst etc.