Microsoft объявила, что начнет отключать схему аутентификации на основе HTTP Basic.
Этот шаг затронет случайных клиентов, использующих Exchange Online по всему миру, начиная с 1 октября 2022 года.
О прекращении традиционного процесса аутентификации, который был принят еще в начале 90-х годов, было объявлено в сентябре 2021 года, после того как первоначально он был отложен из-за пандемии.
Что такое базовая аутентификация?
Базовая аутентификация — это метод, который позволяет пользовательскому агенту HTTP, например веб-браузеру, предоставлять имя пользователя и пароль при выполнении запроса.
Microsoft заявляет, что после октября 2022 года не будет возможности запросить исключение.
Однако базовую аутентификацию можно отключить по усмотрению пользователя с помощью политик аутентификации Microsoft.
Что делать пользователям?
На странице документации Microsoft перечислены некоторые наиболее распространенные проблемы пользователей и указано, что можно сделать, чтобы переключиться с базовой аутентификации на современную аутентификацию.
Этот совет включает в себя проверку того, что служба Outlook для Windows Mail полностью обновлена и имеет правильные ключи реестра, и, что наиболее важно, по мнению Microsoft, что переключатель, который должен быть включен для всего клиента, установлен в значение «True».
Microsoft повторила, что «абсолютно лучший способ» отключить базовую аутентификацию — это использовать функцию политики аутентификации.
Microsoft предупредила пользователей не использовать Set-CASMailbox или условный доступ, поскольку оба они выполняются после аутентификации и, хотя они и предотвращают доступ к данным, не предотвращают доступ к аутентификации.
Microsoft не объяснила конкретно причины попыток улучшить управление учетными данными, но заявила, что базовая аутентификация «остается одним из наиболее распространенных, если не самым распространенным, способом защиты наших клиентов от компрометации, и этот тип атак Восход."
«Мы отключили базовую аутентификацию для миллионов арендаторов, которые ее не использовали, и в настоящее время мы отключаем неиспользуемые протоколы для арендаторов, которые все еще ее используют, но каждый день, когда у вашего арендатора включена базовая аутентификация, вы подвергаетесь риску атаки. ».
Эта новость последовала за недавними выводами компании Guardicore, занимающейся кибербезопасностью, которая показала, что конструктивный недостаток встроенной функции почтового сервера Microsoft Exchange может быть использован для сбора учетных данных из приложений и доменов Windows.
В отчете указывается, что проблема существует в протоколе автообнаружения Microsoft, который помогает почтовым клиентам обнаруживать почтовые серверы Exchange для получения правильных конфигураций.
Электронная почта остается чрезвычайно распространенной конечной точкой, которая делает организации уязвимыми для киберпреступников, и Microsoft активно расширяет свои предложения по обеспечению безопасности электронной почты.
Недавно компания добавила новый уровень безопасности в свою службу электронной почты Office 365 с целью улучшить целостность входящих и исходящих сообщений.
Компания заявляет, что новая защита SMTP MTA Strict Transport Security (MTA-STS), функция, впервые анонсированная во второй половине 2020 года, решает такие проблемы, как просроченные сертификаты TLS, проблемы со сторонними сертификатами или неподдерживаемые протоколы безопасности.