Microsoft hat angekündigt, mit der Deaktivierung des auf der HTTP-Basisauthentifizierung basierenden Authentifizierungsschemas zu beginnen.
Der Umzug betrifft ab dem 1. Oktober 2022 zufällig ausgewählte Mieter, die Exchange Online auf der ganzen Welt nutzen.
Der Schritt zur Abschaffung des althergebrachten Authentifizierungsprozesses, der bis in die frühen 90er Jahre zurückreicht, wurde im September 2021 angekündigt, nachdem er sich aufgrund der Pandemie zunächst verzögert hatte.
Was ist Basisauthentifizierung?
Bei der Standardauthentifizierung handelt es sich um eine Methode, die es einem HTTP-Benutzeragenten, z. B. einem Webbrowser, ermöglicht, bei einer Anfrage einen Benutzernamen und ein Kennwort anzugeben.
Microsoft sagt, dass es nach Oktober 2022 keine Möglichkeit mehr geben wird, eine Ausnahme zu beantragen.
Die Standardauthentifizierung kann jedoch nach Ermessen des Benutzers über Microsoft-Authentifizierungsrichtlinien deaktiviert werden.
Was sollten Benutzer tun?
Auf der Dokumentationsseite von Microsoft werden einige der häufigsten Benutzerprobleme aufgeführt und erläutert, wie Sie von der einfachen zur modernen Authentifizierung wechseln können.
Zu diesem Tipp gehört es, sicherzustellen, dass der Outlook für Windows Mail-Dienst vollständig auf dem neuesten Stand ist und über die richtigen Registrierungsschlüssel verfügt, und vor allem, laut Microsoft, dass der Schalter, der mandantenweit aktiviert werden soll, auf „True“ gesetzt ist.
Microsoft bekräftigte, dass die „absolut beste Möglichkeit“, die Standardauthentifizierung zu deaktivieren, darin besteht, die Funktion „Authentifizierungsrichtlinien“ zu verwenden.
Microsoft hat Benutzer davor gewarnt, Set-CASMailbox oder Conditional Access zu verwenden, da beide nach der Authentifizierung erfolgen und zwar den Zugriff auf Daten, nicht aber den Zugriff auf die Authentifizierung verhindern.
Microsoft hat die Gründe für den Versuch, sein Anmeldeinformationsmanagement zu verbessern, nicht konkret erläutert, sagte aber, dass die Basisauthentifizierung „nach wie vor eines der häufigsten, wenn nicht sogar das häufigste Mittel für unsere Kunden ist, um nicht durch Angriffe dieser Art gefährdet zu werden.“ sind auf dem Vormarsch.“
„Wir haben die Basisauthentifizierung bei Millionen von Mandanten deaktiviert, die sie nicht genutzt haben, und wir deaktivieren derzeit ungenutzte Protokolle bei Mandanten, die sie noch nutzen, aber jeden Tag, an dem Ihr Mandant die Basisauthentifizierung aktiviert hat, besteht für Sie das Risiko ein Angriff.“
Die Nachricht folgt auf aktuelle Erkenntnisse des Cybersicherheitsunternehmens Guardicore, die enthüllten, dass ein Designfehler in einer integralen Funktion des Microsoft Exchange-Mailservers missbraucht werden kann, um Anmeldeinformationen für Windows-Anwendungen und -Domänen zu sammeln.
Der Bericht weist darauf hin, dass das Problem im Auto-Discovery-Protokoll von Microsoft besteht, das E-Mail-Clients dabei hilft, Exchange-Mailserver zu erkennen, um die richtigen Einstellungen zu erhalten.
E-Mails sind nach wie vor ein äußerst häufiger Endpunkt, der Unternehmen der Gefahr von Cyberkriminellen aussetzt, und Microsoft hat seine E-Mail-Sicherheitsangebote aktiv erweitert.
Das Unternehmen hat kürzlich seinem E-Mail-Dienst Office 365 eine neue Sicherheitsebene hinzugefügt, mit dem Ziel, die Integrität ein- und ausgehender Nachrichten zu verbessern.
Das Unternehmen gibt an, dass der neue Schutz SMTP MTA Strict Transport Security (MTA-STS), eine Funktion, die erstmals in der zweiten Hälfte des Jahres 2020 angekündigt wurde, Probleme wie abgelaufene TLS-Zertifikate, Probleme mit Zertifikaten von Drittanbietern oder nicht unterstützte Sicherheitsprotokolle behebt.