Hvorfor rapporterer Outlook en ugyldig S/MIME-signatur?
Outlook kan rapportere, at en Penneo-email har en ugyldig S/MIME-signatur, selvom signeringscertifikatet er gyldigt.
Dette sker normalt, når emailen ændres af en sikkerhedstjeneste eller email-gateway, efter at den har forladt Penneo, og før den når modtageren.
En S/MIME-signatur beregnes ud fra indholdet i den signerede email. Hvis dette indhold ændres, stemmer signaturen ikke længere overens med den meddelelse, Outlook modtager, og Outlook markerer den korrekt som ugyldig.
Dette er ikke et certifikatproblem, så det vil ikke løse problemet at udskifte eller importere certifikatet igen.
Hvad kan forårsage problemet?
Almindelige eksempler omfatter:
- Microsoft Safe Links, der omskriver URL'er
- Exchange-transportregler, der tilføjer ansvarsfraskrivelser eller bannere
- Sikre email-gateways såsom Mimecast, Proofpoint eller VIPRE, der ændrer meddelelsen
- Andre sikkerhedsregler, der ændrer meddelelsens brødtekst, MIME-struktur eller signerede headers
Penneo signerer både meddelelsens headers og brødtekst. Dette giver stærkere beskyttelse, men betyder også, at ændringer undervejs kan ugyldiggøre signaturen.
Hvorfor påvirker dette kun Penneo-emails?
Forskellige afsendere kan signere forskellige dele af en email. Penneo signerer meddelelsen mere omfattende, så ændringer, der muligvis ikke påvirker en anden afsenders signatur, kan ugyldiggøre en Penneo-signatur.
Hvordan kan det løses?
Modtagerens IT- eller emailsikkerhedsteam bør undersøge mailflowet og sikre, at signerede Penneo-emails ikke ændres efter signeringen.
De bør gennemgå:
- Sikkerhedsregler for URL-omskrivning og Safe Links
- Exchange-transportregler og ansvarsfraskrivelser
- Indstillinger for sikre email-gateways
- Sikkerhedsregler for MIME-konvertering og omskrivning af meddelelser
- Relevante logs for gateway og mailflow
Som en test kan de også levere en Penneo-email via en rute, der omgår den gateway, som ændrer meddelelsen.
Kan Penneos support rette signaturen?
Nej. Hvis meddelelsen blev signeret korrekt af Penneo og derefter ændret af modtagerens emailinfrastruktur, kan signaturen ikke repareres af Penneo.
Penneos support kan hjælpe med at forklare problemet, men modtagerens IT- eller emailsikkerhedsteam skal rette den konfiguration, der forårsager ændringen af meddelelsen.
Du kan finde flere oplysninger om udvidet filtrering i Microsoft 365-forbindelser i VIPREs dokumentation.