Kennwörter und Sicherheit in Outlook für iOS und Android für Exchange Server
In diesem Artikel wird beschrieben, wie Kennwörter und Sicherheit in Outlook für iOS und Android mit Exchange Server bei Verwendung der Standardauthentifizierung mit dem Exchange ActiveSync-Protokoll funktionieren.
Wichtig
Outlook für iOS und Android unterstützt die moderne Hybridauthentifizierung für lokale Postfächer, wodurch die Standardauthentifizierung nicht mehr genutzt werden muss. Die in diesem Artikel enthaltenen Informationen beziehen sich nur auf die Standardauthentifizierung. Weitere Informationen finden Sie unter Verwenden der modernen Hybridauthentifizierung mit Outlook für iOS und Android.
Erstellen eines Kontos und Absichern von Kennwörtern
Bei der ersten Ausführung der Outlook-App für iOS und Android in einer lokalen Exchange-Umgebung generiert Outlook einen zufälligen AES-128-Schlüssel. Dieser Schlüssel wird als Geräteschlüssel bezeichnet und ausschließlich auf dem Gerät des Benutzers gespeichert.
Wenn sich ein Benutzer mit der Standardauthentifizierung bei Exchange anmeldet, werden der Benutzername, das Kennwort und ein eindeutiger AES-128-Geräteschlüssel vom Gerät des Benutzers über eine TLS-Verbindung an den Outlook-Clouddienst gesendet, wobei sich der Geräteschlüssel im Computespeicher der Laufzeit befindet. Nach der Überprüfung des Kennworts mit dem Exchange-Server verwendet die Microsoft 365- oder Office 365-basierte Architektur den Geräteschlüssel, um das Kennwort zu verschlüsseln, und das verschlüsselte Kennwort wird dann im Dienst gespeichert. Der Geräteschlüssel wird in der Zwischenzeit aus dem Arbeitsspeicher zurückgesetzt und nie in der Microsoft 365- oder Office 365-basierten Architektur gespeichert (der Schlüssel wird nur auf dem Gerät des Benutzers gespeichert).
Wenn ein Benutzer als Nächstes versucht, eine Verbindung mit Exchange herzustellen, um Postfachdaten abzurufen, wird der Geräteschlüssel erneut vom Gerät an die Microsoft 365- oder Office 365-basierte Architektur über eine TLS-gesicherte Verbindung übergeben, wo er zum Entschlüsseln des Kennworts im Computespeicher der Laufzeit verwendet wird. Nach der Entschlüsselung wird das Kennwort nie im Dienst gespeichert oder auf einen lokalen Speicherdatenträger geschrieben, und der Geräteschlüssel wird erneut aus dem Arbeitsspeicher zurückgesetzt.
Nachdem die Microsoft 365- oder Office 365-basierte Architektur das Kennwort zur Laufzeit entschlüsselt hat, kann der Dienst eine Verbindung mit dem Exchange-Server herstellen, um E-Mails, Kalender und andere Postfachdaten zu synchronisieren. Solange der Benutzer Outlook in regelmäßigen Abständen öffnet und verwendet, behält die Microsoft 365- oder Office 365-basierte Architektur eine Kopie des entschlüsselten Kennworts des Benutzers im Arbeitsspeicher bei, um die Verbindung mit dem Exchange-Server aktiv zu halten.
Überlegungen zur Konformität beim Senden von Kennwörtern
Bevor Sie etwas aktivieren, das die Übertragung von Kennwörtern aus Ihrer lokalen Exchange-Umgebung ermöglicht, sollten Sie die möglichen Auswirkungen berücksichtigen. Beispielsweise kann die Übertragung von Kennwörtern an Microsoft 365 oder Office 365-basierte Architektur dazu führen, dass Sie die Anforderungen von PCI-DSS oder ISO/IEC 27001 nicht erfüllen können.
Wenn Sie E-Mails, Kalender und andere E-Mail-bezogene Daten verbinden und synchronisieren, kann es außerdem zu Problemen bei der Einhaltung der DSGVO kommen, die die privaten Informationen einschränkt, die Sie ohne Zustimmung des Besitzers übertragen können. Diese Informationen können in E-Mails, Kalenderelementen usw. enthalten und darin gefunden werden.
Kontoinaktivität und Löschen von Kennwörtern aus dem Laufzeitspeicher
Nach drei Tagen Inaktivität löscht die Microsoft 365- oder Office 365-basierte Architektur ein entschlüsseltes Kennwort aus dem Arbeitsspeicher. Wenn das entschlüsselte Kennwort geleert wurde, kann die Architektur nicht auf das postfach eines Benutzers lokal zugreifen. Das verschlüsselte Kennwort bleibt in der Microsoft 365- oder Office 365-basierten Architektur gespeichert, aber das erneute Entschlüsseln ist ohne den Geräteschlüssel, der nur auf dem Gerät des Benutzers verfügbar ist, nicht möglich.
Es gibt drei Gründe, aus denen ein Benutzerkonto inaktiv werden kann:
Der Benutzer deinstalliert Outlook für iOS und Android.
Die Aktualisierung der Hintergrund-App ist in den Einstellungen deaktiviert, und dann wird ein erzwungenes Beenden auf Outlook angewendet.
Das Gerät des Benutzers hat keine Internetverbindung, sodass Outlook sich nicht mit Exchange synchronisieren kann.
Hinweis
Outlook wird nicht inaktiv, nur weil der Benutzer die App für einige Zeit nicht öffnet, z. B. an einem Wochenende oder im Urlaub. Solange die Hintergrundaktualisierung für Apps aktiviert ist (Standardeinstellung für Outlook für iOS und Android), zählen Funktionen wie Pushbenachrichtigungen und die Hintergrundsynchronisierung von E-Mails als Aktivität.
Leeren von verschlüsselten Kennwörtern und synchronisierten Postfachdaten aus Microsoft 365 oder Office 365
Die Microsoft 365- oder Office 365-basierte Architektur leert oder löscht inaktive Konten nach einem wöchentlichen Zeitplan. Nachdem ein Benutzerkonto inaktiv wurde, löscht die Architektur sowohl das verschlüsselte Kennwort als auch den gesamten synchronisierten Postfachinhalt des Benutzers aus dem Dienst.
Kombination aus Sicherheitsfunktionen auf Geräte- und Dienstseite
Der eindeutige Geräteschlüssel jedes Benutzers wird niemals in der Microsoft 365- oder Office 365-basierten Architektur gespeichert, und das Exchange-Kennwort eines Benutzers wird nie auf dem Gerät gespeichert. Diese Architektur bedeutet, dass eine böswillige Partei, um Zugriff auf das Kennwort eines Benutzers zu erhalten, sowohl nicht autorisierten Zugriff auf die Microsoft 365- oder Office 365-basierte Architektur als auch physischen Zugriff auf das Gerät dieses Benutzers benötigt.
Durch das Erzwingen von PIN-Richtlinien und Verschlüsselung auf Geräten in Ihrer Organisation müsste die böswillige Partei auch die Verschlüsselung eines Geräts besiegen, um Zugriff auf den Geräteschlüssel zu erhalten. All das müsste passieren, bevor der Benutzer den Diebstahl oder die Kompromittierung des Geräts bemerkt und eine Remotezurücksetzung anfordert.
Häufig gestellte Fragen zur Kennwortsicherheit
Im Folgenden werden häufig gestellte Fragen zum Sicherheitsentwurf und zu den Einstellungen für Outlook für iOS und Android bei Verwendung mit der Standardauthentifizierung aufgeführt.
Werden Benutzeranmeldeinformationen in der Microsoft 365- oder Office 365-basierten Architektur gespeichert, wenn ich den Zugriff von Outlook auf meine Exchange Server hindere?
Wenn Sie sich dafür entschieden haben, den Zugriff auf Ihre lokalen Exchange-Server von Outlook für iOS und Android zu blockieren, wird die anfängliche Verbindung von Exchange abgelehnt. Benutzeranmeldeinformationen werden vom Outlook-Clouddienst nicht gespeichert, und die anmeldeinformationen, die beim fehlgeschlagenen Verbindungsversuch angezeigt werden, werden sofort aus dem Arbeitsspeicher geleert.
Wie werden der eindeutige Geräteschlüssel und das Benutzerkennwort während der Übertragung in die Microsoft 365- oder Office 365-basierte Architektur verschlüsselt?
Die gesamte Kommunikation zwischen der Outlook-App und der Microsoft 365- oder Office 365-basierten Architektur erfolgt über eine verschlüsselte TLS-Verbindung. Die Outlook-App kann eine Verbindung mit der Microsoft 365- oder Office 365-basierten Architektur herstellen und nichts anderes.
Gewusst wie die Anmeldeinformationen und Postfachinformationen eines Benutzers aus der Microsoft 365- oder Office 365-basierten Architektur entfernen?
Lassen Sie den Benutzer Outlook für iOS und Android auf allen Geräten deinstallieren. Alle Daten werden in etwa 3-7 Tagen aus der Microsoft 365- oder Office 365-basierten Architektur entfernt.
Die App ist geschlossen oder wurde deinstalliert, versucht aber immer noch, sich mit meinem Exchange-Server zu verbinden. Wie kann das sein?
Die Microsoft 365- oder Office 365-basierte Architektur entschlüsselt Benutzerkennwörter im Computespeicher der Laufzeit und verwendet dann die entschlüsselten Kennwörter, um eine Verbindung mit Exchange herzustellen. Da die Architektur im Auftrag des Geräts eine Verbindung mit Exchange herstellt, um Postfachdaten abzurufen und zwischenzuspeichern, kann sie für einen kurzen Zeitraum fortgesetzt werden, bis der Dienst erkennt, dass Outlook keine Daten mehr anfordert.
Wenn ein Benutzer die App von ihrem Gerät deinstalliert, ohne zuvor die Option Konto löschen zu verwenden, bleibt die Microsoft 365- oder Office 365-basierte Architektur mit Ihrem Exchange-Server verbunden, bis das Konto inaktiv wird, wie oben unter "Kontoinaktivität und Leeren von Kennwörtern aus dem Arbeitsspeicher" beschrieben. Um diese Aktivität zu beenden, befolgen Sie Option 1 oder Option 3 aus den oben genannten häufig gestellten Fragen, oder blockieren Sie die App, wie unter Blockieren von Outlook für iOS und Android beschrieben.
Ist ein Benutzerkennwort in Outlook für iOS und Android weniger sicher als bei Verwendung anderer Exchange ActiveSync-Clients?
Nein. EAS-Clients speichern die Benutzeranmeldeinformationen generell lokal auf dem Gerät des Benutzers. Wird ein Gerät gestohlen oder kompromittiert, könnte ein Angreifer also Zugang zum Kennwort des Benutzers erhalten. Mit dem Sicherheitsentwurf von Outlook für iOS und Android benötigt eine böswillige Partei nicht autorisierten Zugriff auf die Microsoft 365- oder Office 365-basierte Architektur und hat physischen Zugriff auf das Gerät eines Benutzers.
Was passiert, wenn ein Benutzer versucht, Outlook für iOS und Android zu verwenden, nachdem seine Daten aus dem Outlook-Clouddienst gelöscht wurden?
Wenn ein Benutzerkonto inaktiv wird (z. B. indem die Aktualisierung der Hintergrund-App auf dem Gerät deaktiviert oder das Gerät für einige Zeit vom Internet getrennt wird), stellt die Outlook-App beim nächsten Start der App eine Verbindung mit der Microsoft 365- oder Office 365-basierten Architektur wieder her, und der Kennwortverschlüsselungs- und E-Mail-Zwischenspeicherungsprozess wird neu gestartet. Dies ist alles für den Benutzer transparent.
Gibt es eine Möglichkeit, die Verwendung der Standardauthentifizierung für lokale Postfächer mit Outlook für iOS und Android zu verhindern?
Ja, Sie können die moderne Hybridauthentifizierung bereitstellen. Weitere Informationen finden Sie unter Using hybrid Modern Authentication with Outlook for iOS and Android.