Microsoft ha anunciado que comenzará a deshabilitar el esquema de autenticación basado en la autenticación básica HTTP.
La medida afectará a los inquilinos aleatorios que utilicen Exchange Online en todo el mundo a partir del 1 de octubre de 2022.
La medida para acabar con el proceso de autenticación de la vieja escuela, que data de principios de los 90, se anunció en septiembre de 2021, después de que inicialmente se retrasara debido a la pandemia.
¿Qué es la autenticación básica?
La autenticación básica es un método que permite que un agente de usuario HTTP, como un navegador web, proporcione un nombre de usuario y una contraseña al realizar una solicitud.
Microsoft dice que no habrá forma de solicitar una excepción después de octubre de 2022.
Sin embargo, la autenticación básica se puede desactivar a discreción del usuario a través de las políticas de autenticación de Microsoft.
Что делать пользователям?
La página de documentación de Microsoft enumera algunos de los problemas más comunes de los usuarios y lo que se puede hacer para cambiar de la autenticación básica a la autenticación moderna.
Este consejo incluye asegurarse de que Outlook para el servicio de correo de Windows esté completamente actualizado y tenga las claves de registro correctas y, lo que es más importante, según Microsoft, que el interruptor que se habilitará en todo el inquilino esté configurado en «Verdadero».
Microsoft reiteró que la «mejor manera absoluta» de deshabilitar la autenticación básica es usar su función de políticas de autenticación.
Microsoft ha advertido a los usuarios que no utilicen Set-CASMailbox o Acceso condicional porque ambos son posteriores a la autenticación y, aunque impiden el acceso a los datos, no impiden el acceso a la autenticación.
Microsoft no explicó específicamente las razones para tratar de mejorar su administración de credenciales, pero dijo que la autenticación básica «sigue siendo uno de los medios más comunes, si no el más común, para que nuestros clientes no se vean comprometidos, y este tipo de ataques son en aumento.»
«Hemos deshabilitado la autenticación básica en millones de inquilinos que no la usaban, y actualmente estamos deshabilitando los protocolos no utilizados en los inquilinos que aún la usan, pero cada día que su inquilino tiene habilitada la autenticación básica, corre el riesgo de sufrir un ataque. ”
La noticia sigue a los hallazgos recientes de la firma de seguridad cibernética Guardicore, que reveló que se puede abusar de una falla de diseño en una característica integral del servidor de correo de Microsoft Exchange para recolectar credenciales de aplicaciones y dominios de Windows.
El informe indica que el problema existe en el protocolo de detección automática de Microsoft, que ayuda a los clientes de correo electrónico a descubrir los servidores de correo de Exchange para recibir las configuraciones correctas.
El correo electrónico sigue siendo un punto final extremadamente común que deja a las organizaciones expuestas a los ciberdelincuentes, y Microsoft se ha mantenido activo para agregar a sus ofertas de seguridad de correo electrónico.
La compañía agregó recientemente una nueva capa de seguridad a su servicio de correo electrónico Office 365 con el objetivo de mejorar la integridad de los mensajes entrantes y salientes.
La compañía dice que la nueva protección, SMTP MTA Strict Transport Security (MTA-STS), una función anunciada por primera vez en la segunda mitad de 2020, resuelve problemas como certificados TLS vencidos, problemas con certificados de terceros o protocolos de seguridad no compatibles.
