Alapszintű hitelesítés az Office 365 II. részében

Előző blogbejegyzésemben bővebben kifejtettem az alapvető és modern hitelesítést, működésüket, és hogyan azonosítható, hogy az outlook kliense melyik módszert használja. Ebben a blogbejegyzésben többet fogok elmagyarázni az alapvető hitelesítés figyeléséről, hogy megtudja, mely ügyfelek használnak jelenleg még alapvető hitelesítést az Ön Office 365-környezetében. Folytatom az alapvető hitelesítés letiltásának módját és az esetleges történések tesztelését.

Alapvető hitelesítés figyelése

Előző blogbejegyzésemben egy kicsit bővebben kifejtettem az alapvető hitelesítést és annak azonosítását, valamint a modern hitelesítés működését.

A következő lépés annak meghatározása, hogy valójában hány felhasználó és alkalmazás használ alapvető hitelesítést az Office 365 környezetben. Végül is ezeket a felhasználókat érinti, ha a Microsoft leállítja az alapvető hitelesítést.

Ennek azonosításához jelentkezzen be az Azure Active Directory Portalra (https://aad.portal.azure.com), és válassza ki a bejelentkezéseket (a megfigyelés alatt). Itt láthatja az Azure AD összes bejelentkezésének áttekintését, sikeres és sikertelen volt, minden ügyfél, minden szolgáltatás és minden hely esetében. A következő képernyőképen látható egy példa (kattintson a nagyításhoz):

Ez megmutatja az összes bejelentkezést az Azure AD-ben, az összes alkalmazáshoz és szolgáltatáshoz, sikertelen és sikeres. A Szűrők hozzáadása gombbal szűkítheti az információkat, ebben a blogbejegyzésben csak az alapvető hitelesítéssel kapcsolatos információkat jelenítheti meg.

Ehhez kattintson a Szűrő hozzáadása | Válassza az Ügyfélalkalmazás | lehetőséget Kattintson az Alkalmaz gombra

Kattintson az „Ügyfélalkalmazás: Nincs kiválasztva” lehetőségre, és válassza ki az összes lehetőséget kivéve a böngészőt és a mobilalkalmazásokat és asztali ügyfeleket a következő képernyőképen látható módon (kattintson nagyításhoz):

Megjegyzés. A képernyőképet 2020. április 6-án frissítettük. A Microsoft itt egy nagyszerű grafikus felhasználói felület fejlesztést hajtott végre, hogy könnyen azonosítsa a különböző klienseket (a modern és a régi ügyfelek között).

Most áttekintést kap a környezetében végzett összes alapvető hitelesítési kísérletről. Ha kiválaszt egy bejegyzést, további részletek jelennek meg, beleértve az ügyfélalkalmazást, a felhasználónevet és a felhasználói ügynököt (amely azonosítja az ügyfélalkalmazást), ahogy az a következő képernyőképen látható (kattintson a nagyításhoz):

Egy másik érdekesség, hogy beazonosíthatja, honnan ered az összes sikertelen alapvető hitelesítési kísérlet. Szűrő hozzáadása Állapot | Sikertelenség esetén csak a sikertelen próbálkozásokat fogja látni. Némelyik törvényes (elírási hiba a jelszó megadásakor), de legtöbbjük csak brute force támadás. A következő képernyőképen Oroszországból, Thaiföldről és Új-Kaledóniából érkező próbálkozások láthatók, ahol nincs irodánk. Azt is láthatja, hogy a próbálkozás egy szkriptből (CBAInPROD felhasználói ügynök) származik, és az IMAP4 protokollt használja (amely minden postafiókban le van tiltva). Ez az egyik oka annak, hogy miért szeretné letiltani az alapvető hitelesítést a bérlőben. Kattints a kinagyításhoz:

Ez egy egyszerű módja annak, hogy azonosítsa azokat a mobil klienseket, amelyek az ActiveSync-et protokollként használják, és így alapvető hitelesítést használnak. Az Apple iOS natív levelezőkliense az iOS11 óta támogatja az OAuth2-t, így az összes legújabb iPhone modern hitelesítést használ. Az Android natív levelezőkliens esetében a dolgok másként működnek. A natív Gmail-kliens támogatja az OAuth2-t, de természetesen nem használható az Office 365-tel. A legtöbb más levelezőkliens még nem támogatja az OAuth2-t, így ezek alapvető hitelesítést használnak, és problémákba ütköznek, ha a Microsoft leállítja az alapvető hitelesítést. Más szóval, ezek az ügyfelek nem fognak dolgozni. Módosítsa a Client App szűrőt Exchange ActiveSync értékre, és távolítsa el az Állapot | Hiba szűrő. Megjelenik azon mobilfelhasználók listája, akik alapvető hitelesítést használnak, ahogy az a következő képernyőképen látható (a felhasználónév adatvédelmi okokból eltávolítva) (kattintson a nagyításhoz):

Megjegyzés. Az Outlook for iOS és az Outlook for Android OAth2-t használ, így ezek továbbra is működni fognak.

Így az Azure AD-portál bejelentkezési oldalán található szűrési beállítások segítségével azonosíthatja, hogy mely ügyfelek használnak továbbra is alapvető hitelesítést az Office 365-szolgáltatások elérésekor (és így mely ügyfeleket érinti az alapszintű hitelesítés leállítása).

Alapszintű hitelesítés letiltása

Lehetőség van az alapvető hitelesítés letiltására az Office 365-ben egy hitelesítési házirend létrehozásával, és ezt a házirendet alkalmazza a felhasználókra. Alkalmazásuk után már nem használhatják az alapszintű hitelesítést az Office 365 szolgáltatásba való bejelentkezéshez. Új hitelesítési házirend létrehozásához használja a következő parancsot az Exchange Online PowerShellben:

[PS] C:\> New-AuthenticationPolicy - Name "Block Basic Authentication"

Ha hozzá szeretne adni egy felhasználót a házirendhez, és hatékonyan blokkolja a felhasználó alapvető hitelesítését, használja a következő parancsot az Exchange Online PowerShellben:

[PS] C:\> Set-User -Identity j.wesselius@exchangelabs.nl -AuthenticationPolicy „Block Basic Authentication”

Akár 24 órába is beletelhet, mire ez az irányelv hatályba lép. A házirend hatásának eléréséhez (szinte azonnal, vagy legalább 30 percen belül) a következő parancsot használhatja:

[PS] C:\> Set-User -Identity j.wesselius@exchangelabs.nl -AuthenticationPolicy "Block Basic Authentication" -STSRefreshTokensValidFrom $ ([System.DateTime]::UtcNow)

Ha el szeretne távolítani egy felhasználót a hitelesítési házirendből, a $Null kódot használhatja a hitelesítési szabályzathoz:

[PS] C:\> Set-User -Identity j.wesselius@exchangelabs.nl -AuthenticationPolicy $Null

Ha több felhasználót is hozzáadott ehhez a hitelesítési szabályzathoz, megkezdheti a tesztelést különböző ügyfelekkel, és létrehozhat egy táblázatot az ügyfelekkel és a forgatókönyvekkel, az alábbi táblázathoz hasonlóan:

Client

Eredmények

Office 2010

Nem működik (folyamatosan jelszót kér)

Office 2013/2016

Továbbra is működik (már használta a Modern hitelesítést)

Outlook 2010 on-premises mailbox, cross-premises free/busy

Továbbra is működik, de további vizsgálatra van szükség (1. megjegyzés)

Outlook 2013/2016 on-premises mailbox, cross-premises free/busy

Folytatja a munkát

iPhone 8, iOS13, native mailclient

Folytatja a munkát

iPhone 8, iOS13, Outlook for iOS

Folytatja a munkát

Samsung A10, Android 9, native Email client 6.1.11.6

Nem működik

Samsung A10, Android 9, AquaMail (by MobiSystems, supports OAuth)

Folytatja a munkát (2. megjegyzés)

Samsung A10, Android 9, Outlook for Android

Folytatja a munkát

Exchange Online PowerShell New-PSSession

Nem működik (3. megjegyzés)

Exchange Online PowerShell module

Folytatja a munkát

Exchange PowerShell V2

Folytatja a munkát

POP3 Clients

TBD

IMAP4 Clients

TBD

1. megjegyzés. Ebben a forgatókönyvben egy Outlook-ügyfél helyszíni postafiókot használ, de megpróbálja lekérni az elfoglaltsági adatokat az Exchange Online-ban található postafiókból. Mindkét fiókban le van tiltva az alapvető hitelesítés az Azure AD-ben.

2. megjegyzés. Az Android 9 natív levelezőprogramja (a Samsung A10-emen) csak az alapszintű hitelesítést támogatja. Ez nem eszközkorlátozás, hanem alkalmazáskorlátozás. Az AquaMail (a MobiSystems-től) például támogatja az OAuth-t, és továbbra is működik, ha az alapvető hitelesítés le van tiltva. Az AquaMail azonban nem ingyenes alkalmazás, hanem előfizetésen alapuló alkalmazás.

3. megjegyzés. Az Exchange Online-hoz a táblázat 9. sorában látható módon a következő módszerrel lehet csatlakozni:

$ExCred = Get-Credential TenantAdminAccount
$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://ps.outlook.com/powershell/ -Credential $ExCred -Authentication Basic -AllowRedirection
Import-PSSession $Session

Ez alapvető hitelesítést használ, és nem fog működni. Ezt a munkamódszert azonban semmiképpen ne használja, mert nem támogatja az MFA-t, ami a rendszergazdai fiókok számára ajánlott bevált gyakorlat! További információért tekintse meg a Multi Factor Authentication MFA-t az Office 365-ben rendszergazdai fiókokhoz.

Összegzés

Az előző két blogbejegyzésben megpróbáltam egy kicsit bővebben kifejteni az alapvető és modern hitelesítést, és azt, hogy mi történhet, ha a Microsoft jövő októberben megszünteti az alapszintű hitelesítés támogatását az Exchange Online-ban.

Az biztos, hogy az Exchange Online-hoz való csatlakozáskor a dolgok megszakadnak. A legnyilvánvalóbb az Outlook 2010, amely többé nem csatlakozik. A natív mobilkliensek, amelyek nem támogatják az oAuth2-t (az Android levelezőalkalmazásokban, de a régebbi iPhone-okon is), szintén leállnak. Ha nem cselekszik most, nagy bajba kerül, amikor a Microsoft végrehajtja a változtatást.

Egyelőre kezdje el a tesztelést a második blogbejegyzésben ismertetett opciókkal. Hozzon létre saját listát azokról az alkalmazásokról és szolgáltatásokról, amelyek alapvető hitelesítést használnak, és kezdje meg a tesztelést egy olyan hitelesítési házirenddel, amely blokkolja az alapvető hitelesítést. Ez az egyetlen módja annak, hogy felkészüljünk erre a jelentős (nagynagy) közelgő változásra. De végül mindannyiunk hasznára válik biztonsági szempontból.

Több információ

• Alapszintű hitelesítés és Exchange Online - 2020. februári frissítés - https://techcommunity.microsoft.com/t5/exchange-team-blog/basic-auth-and-exchange-online-february-2020-update/ba-p/1191282
• Az alapszintű hitelesítés letiltása az Exchange Online-ban - https://docs.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/disable-basic-authentication-in-exchange-online
• A Microsoft Identity Platform (v2.0) áttekintése - https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-overview
• Modern hitelesítés engedélyezése az Exchange Online-ban - https://docs.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/enable-or-disable-modern-authentication-in-exchange-online
• A hitelesítés alapjai - https://docs.microsoft.com/nl-nl/azure/active-directory/develop/authentication-scenarios
• Azure AD Mailbag: A régi hitelesítés felderítése és blokkolása - https://techcommunity.microsoft.com/t5/azure-active-directory-identity/azure-ad-mailbag-discovering-and-blocking-legacy-authentication/ba-p/ 369725
• Hogyan működik a modern hitelesítés az Office 2013 és az Office 2016 ügyfélalkalmazásaihoz - https://docs.microsoft.com/en-us/office365/enterprise/modern-auth-for-office-2013-and-2016
• Az iOS 11 támogatja az OAuth 2.0-t (Modern Auth) a natív levelezőalkalmazásban - https://blog.peterdahl.net/2017/09/12/ios-11-provides-support-for-oauth-2-0-in -a-natív-mail-app/
• A Microsoft Identity Platform evolúciója - https://docs.microsoft.com/en-us/azure/active-directory/develop/about-microsoft-identity-platform
• Felhasználói ügynök karakterláncok listája - https://deviceatlas.com/blog/list-of-user-agent-strings
• Az Azure AD feltételes hozzáférési támogatása a korábbi hitelesítés blokkolásához nyilvános előnézetben elérhető! - https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Conditional-Access-support-for-blocking-legacy-auth-is/ba-p/245417
• Hogyan: blokkolja a korábbi hitelesítést az Azure AD számára feltételes hozzáféréssel - https://docs.microsoft.com/nl-nl/azure/active-directory/conditional-access/block-legacy-authentication