Microsoft Exchange Online: Abschaltung Basic Auth

Basic Authenication gilt mittlerweile als veraltet. Bei jeder Client-Anwendung werden der Benutzername und das Passwort in Klartext weitergegeben und häufig gespeichert. Das erleichtert es Angreifern, diese Informationen abzufangen und für unerlaubte Zugriffe zu verwenden. Desweiteren ist bei aktivierter Basic Authentication die Nutzung der Multifaktor-Authentifizierung (MFA) erschwert oder sogar unmöglich.

Microsoft hat in einer Analyse des Azure Active Directory (Azure AD)-Datenverkehrs die Basic Authentication unter die Lupe genommen:

• Mehr als 99 Prozent der Passwort-Spray-Angriffe verwenden ältere Authentifizierungsprotokolle.
• Mehr als 97 Prozent der Credential-Stuffing-Angriffe verwenden Basic Authentication.
• Azure AD-Konten in Organisationen mit deaktivierter Basic Authentication weisen 67 Prozent weniger Kompromittierungen auf als Organisationen, in denen die diese Authentifizierung aktiviert ist.

Bei der modernen Authentifizierung spricht man von einer Kombination zwischen Authentifizierungs- und Autorisierungsmethode. Die Kommunikation zwischen Client und Server beruht hierbei auf Zugriffsrichtlinien. Dies gibt Administratoren mehrere Tools an die Hand, um Ressourcen zu schützen und die Identitätsverwaltung sowohl lokal als auch in hybriden Exchange-Szenarien zu vereinfachen.

• Authentifizierungsmethoden: Multifaktor-Authentifizierung (MFA); Smartcardauthentifizierung; Zertifikatbasierte Clientauthentifizierung
• Autorisierungsmethoden: Microsoft-Implementierung von OAuth (Open Authorization)
• Richtlinien für den bedingten Zugriff (Conditional Access): Mobile Anwendungsverwaltung (MAM) und Azure Active Directory (Azure AD) – Bedingter Zugriff

Die Protokolle MAPI, RPC, Offline Address Book (OAB), Exchange Web Services (EWS), POP, IMAP und Remote PowerShell sind von der Abschaltung betroffen. Handelt ein betroffenes Unternehmen nicht rechtzeitig, kann dies dazu führen, dass bestimmte Dienste nicht mehr genutzt werden können. Resultierend daraus kann jeder Client (Benutzer-App, Skript, Integration usw.), der Basic Auth für einen der betroffenen Dienste verwendet, zu diesen keine Verbindung mehr herstellen. Der User erhält eine HTTP 401-Fehlermeldung: "falscher Benutzername oder falsches Passwort". Dies kann dazu führen, dass Mitarbeitende ab diesem Zeitpunkt weder E-Mails senden noch empfangen können. Microsoft weist darauf hin, dass nach der Abschaltung auch keine Reaktivierung von Basic Authentication möglich sein wird.

Im Rahmen der Abschaltung von Basic-Authentifizierungsmethoden bei Microsoft Exchange Online prüfen wir deren Verwendung in Ihrem Microsoft Tenant. Dabei greifen wir auf Anmeldeprotokolle im Microsoft 365 Tenant und speziell in der Exchange-Online-Umgebung zurück. Die Auswertung erfolgt mit einem PowerShell-Skript, welches im read-only Modus läuft.

Wir stimmen uns kurz telefonisch zu den Accounts und dem Vorgehen mit Ihnen ab. Dann führen wir die Analyse anhand des PowerShell-Skripts durch. Daraus werten wir die Anmeldemethoden im M365-Tenant mit Fokus Exchange Online aus. Ebenso analysieren wir die geöffneten Basic-Authentication-Schnittstellen im Exchange Online:

• Exchange Online für Exchange ActiveSync (EAS)
• POP/IMAP
• Remote PowerShell
• Exchange-Webdienste (EWS)
• Offlineadressbuch (OAB)
• Outlook für Windows und Mac

Die Ergebnisse führen wir in einer Dokumentation mit folgenden Inhalten zusammen:

• Erläuterung der Unterschiede zwischen Basic und Modern Authentication
• Übersicht, welche Accounts bzw. Service Principals aktuell Basic Authentication verwenden
• Geöffnete Basic-Auth-Schnittstellen im Exchange-Online-Bereich
• Kurze allgemeine Handlungsempfehlung für weitere Schritte

Uns ist wichtig, dass Sie die volle Transparenz zu unseren Leistungen haben. Folgendes können wir im Rahmen dieser Analyse nicht abdecken - gerne unterstützen wir Sie hierbei in einem separat zu beauftragendem Projekt:

• Umsetzung von Remediation/Mitigation-Maßnahmen, weder für Accounts noch Applikationen
• Implementierung von Features wie bspw. Conditional Access, MFA oder Ähnliches
• Erstellung von einer detaillierten Maßnahmen-Roadmap
• Prüfung von anderen Emailsystemen als Microsoft Exchange Online

Bitte rechnen Sie mit 0,5 Personentagen für Vor- und Nachbereitung durch Ihren Exchange Online Administrator. Um die Analysen umfassend durchführen zu können, benötigen wir Folgendes von Ihnen:

• Terminvereinbarung über Bookings
• Erstellung Service Account für All for One Consultants mit Global-Reader-Rechten

Unsere Basic-Auth-Analyse erhalten Sie zum Preis von 990,- EUR zzgl. Mehrwertsteuer.