Waarom meldt Outlook dat een S/MIME-handtekening ongeldig is?
Outlook kan melden dat een Penneo-e-mail een ongeldige S/MIME-handtekening heeft, ook al is het ondertekeningscertificaat (de handtekening) wel geldig.
Dit gebeurt meestal wanneer de e-mail wordt gewijzigd door een beveiligingsservice of e-mailgateway nadat deze Penneo heeft verlaten en voordat deze de ontvanger bereikt.
Een S/MIME-handtekening wordt berekend op basis van de inhoud van de e-mail. Als die inhoud verandert, komt de handtekening niet langer overeen met het bericht dat Outlook ontvangt. Outlook markeert het bericht dan terecht als ongeldig.
Dit is geen certificaatprobleem. Het vervangen of opnieuw importeren van het certificaat zal het probleem dus niet oplossen.
Waardoor kan het probleem worden veroorzaakt?
Veelvoorkomende oorzaken zijn:
Microsoft Safe Links die URL's herschrijft.
Transportregels in Exchange die disclaimers of banners toevoegen.
Beveiligde e-mailgateways (zoals Mimecast, Proofpoint of VIPRE) die het bericht aanpassen.
Overige beveiligingsinstellingen die de berichttekst, MIME-structuur of ondertekende headers wijzigen.
Penneo ondertekent zowel de berichtheaders als de berichttekst. Dit biedt een betere bescherming, maar betekent ook dat elke wijziging tijdens de verzending de handtekening ongeldig kan maken.
Waarom hebben alleen Penneo-e-mails hier last van?
Verschillende afzenders ondertekenen e-mails op verschillende wijzen. Penneo ondertekent e-mails uitgebreider dan gemiddeld. Hierdoor kunnen wijzigingen die bij andere afzenders géén invloed hebben, een Penneo-handtekening wél ongeldig maken.
Hoe kan dit worden opgelost?
Het IT- of e-mailbeveiligingsteam van de ontvanger moet de mailflow onderzoeken en ervoor zorgen dat ondertekende Penneo-e-mails na verzending niet meer worden gewijzigd.
Zij kunnen het volgende controleren:
Beleidsregels voor het herschrijven van URL's en Safe Links.
Transportregels en disclaimers in Exchange.
Instellingen van de beveiligde e-mailgateway.
Instellingen voor MIME-conversie en het herschrijven van berichten.
Relevante logboeken van de gateway en mailflow.
Tip voor het testen: Laat de IT-afdeling van de ontvanger een Penneo-e-mail afleveren via een route die de e-mailgateway (die de wijzigingen veroorzaakt) omzeilt.
Kan Penneo Support de handtekening herstellen?
Nee. Als het bericht door Penneo correct is ondertekend en vervolgens door de e-mailinfrastructuur van de ontvanger is gewijzigd, kan Penneo de handtekening niet herstellen.
Penneo Support kan helpen om het probleem uit te leggen, maar het IT- of e-mailbeveiligingsteam van de ontvanger moet de instellingen aanpassen die de wijziging veroorzaken.
Zie de documentatie van VIPRE voor meer informatie over uitgebreide filtering in Microsoft 365-connectors.