Les mots de passe et la sécurité dans Outlook pour iOS et Android pour Exchange ServerPasswords and security in Outlook for iOS and Android for Exchange Server

Résumé: cet article décrit comment les mots de passe et sécurité fonctionnent dans Outlook pour iOS et Android avec Exchange Server lorsque vous utilisez l’authentification de base avec le protocole Exchange ActiveSync.Summary: This article describes how passwords and security work in Outlook for iOS and Android with Exchange Server when using Basic authentication with the Exchange ActiveSync protocol.

Création d'un compte et protection des mots de passeCreating an account and protecting passwords

La première exécution de l’application Outlook pour iOS et Android dans un environnement sur site Exchange, Outlook génère une clé AES-128 aléatoire. Cette clé est appelée clé de périphérique et stockée uniquement sur les périphériques de l’utilisateur.The first time the Outlook app for iOS and Android is run in an Exchange on-premises environment, Outlook generates a random AES-128 key. This key is known as the device key and is stored only on the user's device.

Lorsqu’un utilisateur se connecte à Exchange avec l’authentification de base, le nom d’utilisateur, mot de passe et une clé de périphérique unique AES-128 sont envoyés à partir de l’appareil de l’utilisateur au service cloud Outlook via une connexion TLS, où la clé de périphérique est conservée dans la mémoire compute de runtime. Après avoir vérifié le mot de passe avec le serveur Exchange, le service Outlook utilise la clé de périphérique pour chiffrer le mot de passe et le mot de passe chiffré est ensuite stocké dans le service. Entre-temps, la clé du périphérique, est effacée de la mémoire et jamais stockée dans le service d’Outlook (la clé est stockée uniquement sur l’appareil de l’utilisateur).When a user logs onto Exchange with Basic authentication, the username, password, and a unique AES-128 device key are sent from the user's device to the Outlook cloud service over a TLS connection, where the device key is held in runtime compute memory. After verifying the password with the Exchange server, the Outlook service uses the device key to encrypt the password, and the encrypted password is then stored in the service. The device key, meanwhile, is wiped from memory and never stored in the Outlook service (the key is only stored on the user's device).

Ensuite, lorsqu'un utilisateur tente de se connecter à Exchange pour récupérer des données de boîte aux lettres, la clé de périphérique est à nouveau transmise du périphérique au service Outlook via une connexion TLS sécurisée, où elle est utilisée pour déchiffrer le mot de passe dans la mémoire de calcul d'exécution. Une fois déchiffré, le mot de passe n'est jamais stocké dans le service ni écrit sur un disque de stockage local, et la clé de périphérique est à nouveau effacée de la mémoire.Next, when a user attempts to connect to Exchange to retrieve mailbox data, the device key is again passed from the device to the Outlook service over a TLS-secured connection, where it is used to decrypt the password in runtime compute memory. Once decrypted, the password is never stored in the service or written to a local storage disk, and the device key is once again wiped from memory.

Une fois que le service Outlook a déchiffré le mot de passe lors de l’exécution, le service peut se connecter puis sur le serveur Exchange pour synchroniser le courrier, calendrier et autres données de boîte aux lettres. Tant que l’utilisateur poursuit ses ouvrir et utiliser Outlook régulièrement, le service Outlook conserver une copie du mot de passe de l’utilisateur déchiffré en mémoire pour maintenir la connexion au serveur Exchange active.After the Outlook service has decrypted the password at runtime, the service can then connect to the Exchange server to synchronize mail, calendar, and other mailbox data. As long as the user continues to open and use Outlook periodically, the Outlook service will keep a copy of the user's decrypted password in memory to keep the connection to the Exchange server active.

Inactivité de compte et suppression des mots de passe de la mémoireAccount inactivity and flushing passwords from memory

Au bout de trois jours d’inactivité, le service Outlook efface le mot de passe déchiffré de la mémoire. Une fois que le mot de passe déchiffré est effacé, le service Outlook ne peut plus accéder à la boîte aux lettres de l’utilisateur. Le mot de passe chiffré reste stocké dans le service Outlook, mais vous ne pouvez pas le déchiffrer à nouveau sans la clé de périphérique, qui est disponible uniquement à partir du périphérique de l’utilisateur. After three days of inactivity, the Outlook service will flush a decrypted password from memory. With the decrypted password flushed, the Outlook service is unable to access a user's mailbox. The encrypted password remains stored in the Outlook service, but decrypting it again isn't possible without the device key, which is only available from the user's device.

Un compte d’utilisateur peut devenir inactif pour les trois raisons suivantes :There are three ways a user account can become inactive:

  • L'utilisateur désinstalle Outlook pour iOS et Android.Outlook for iOS and Android is uninstalled by the user.

  • L'utilisateur désactive l'actualisation de l'application en arrière-plan dans les options de paramètres, puis force à quitter Outlook.Background app refresh is disabled in the Settings options and then a force-quit is applied to Outlook.

  • Aucune connexion Internet n'est disponible sur le périphérique, empêchant Outlook d'effectuer la synchronisation avec Exchange.No internet connection is available on the device, preventing Outlook from synchronizing with Exchange.

Note

Outlook ne devient pas inactif uniquement car l'utilisateur n'ouvre pas l'application pendant une certaine période de temps, comme un week-end ou pendant les vacances. Tant que l'actualisation de l'application en arrière-plan est activée (qui est le paramètre par défaut dans Outlook pour iOS et Android), les fonctions telles que les notifications push et la synchronisation en arrière-plan de la messagerie sont considérées comme activité.Outlook will not become inactive simply because the user does not open the app for a period of time, such as over a weekend or while on vacation. As long as background app refresh is enabled (which is the default setting for Outlook for iOS and Android), functions like push notifications and background synchronization of email will count as activity.

Effacement du mot de passe chiffré et du cache de message à partir du disque durFlushing encrypted password and message cache from hard disk

Le service Outlook vide ou supprime les comptes inactifs sur une base hebdomadaire. Une fois qu'un compte d'utilisateur est inactif, le service Outlook vide à la fois le mot de passe chiffré et l'ensemble du contenu de la boîte aux lettres mis en cache.The Outlook service flushes, or deletes, inactive accounts on a weekly schedule. After a user account becomes inactive, the Outlook service will flush both the encrypted password and all of the user's cached mailbox content out of the service.

Combinaison de sécurité de service et de périphériqueDevice and service security combination

Les clés de périphérique uniques d'utilisateur ne sont jamais stockées dans le service Outlook et le mot de passe Exchange d'un utilisateur n'est jamais stocké sur le périphérique. Cette architecture signifie que pour pouvoir accéder au mot de passe d'un utilisateur, un groupe malveillant doit disposer d'un accès non autorisé au service Outlook et d'un accès physique au périphérique de cet utilisateur.Each user's unique device key is never stored in the Outlook service, and a user's Exchange password is never stored on the device. This architecture means that in order for a malicious party to gain access to a user's password, they would need both unauthorized access to the Outlook service and physical access to that user's device.

En appliquant des stratégies de code confidentiel de chiffrement sur les périphériques de votre organisation, la personne malveillante doit également pouvoir contourner le chiffrement d’un périphérique pour accéder à la clé du périphérique. Ce serait ont lieu avant que l’utilisateur remarqué que le périphérique a été compromis et peut demander un une réinitialisation à distance pour le périphérique.By enforcing PIN policies and encryption on devices in your organization, the malicious party would also have to defeat a device's encryption just to get access to the device key. This would all have to take place before the user noticed that the device was compromised and could request an a remote wipe for the device.

FAQ sur la sécurité des mots de passePassword security FAQ

Les éléments suivants sont questions fréquemment posées concernant la conception de la sécurité et les paramètres d’Outlook pour iOS et Android lorsqu’elle est utilisée avec l’authentification de base.The following are frequently asked questions regarding security design and settings for Outlook for iOS and Android when used with Basic authentication.

Les informations d'identification d'utilisateur sont-elles stockées dans le service Outlook si j'empêche Outlook d'accéder à mon instance Exchange Server ?Are user credentials stored in the Outlook service if I block Outlook from accessing my Exchange Server?

Si vous avez choisi de bloquer Outlook pour iOS et Android d’accéder à des serveurs Exchange locaux, la connexion initiale est rejetée par Exchange. Informations d’identification utilisateur ne seront pas enregistrées par le service de nuage Outlook et les informations d’identification présentées dans la tentative de connexion ayant échoué sont vidées immédiatement de la mémoire.If you have chosen to block Outlook for iOS and Android from accessing your on-premises Exchange servers, the initial connection will be rejected by Exchange. User credentials will not be stored by the Outlook cloud service and the credentials presented in the failed connection attempt are immediately flushed from memory.

Comment sont chiffrés le mot de passe clé et la clé de périphérique unique lors de la transition vers le service Outlook ?How is the unique device key and user password encrypted in transit to the Outlook service?

Toutes les communications entre l’application Outlook et le service Outlook sont via une connexion TLS chiffrée. L’application Outlook est capable de se connecter avec le service d’Outlook et rien d’autre.All communication between the Outlook app and the Outlook service is through an encrypted TLS connection. The Outlook app is capable of connecting with the Outlook service and nothing else.

Comment supprimer du service Outlook les informations d'identification et les informations de boîte aux lettres d'un utilisateur ?How do I remove a user's credentials and mailbox information from the Outlook service?

Il existe trois manières de supprimer les informations du service Outlook, comme indiqué ci-dessous :There are three ways to remove information from the Outlook service:

  • Option 1 : lancer une réinitialisation à distance pour chaque utilisateur ayant utilisé l'application afin de se connecter à Exchange.Option 1: Initiate a Remote Wipe for each user who has used the app to connect to Exchange.

  • Option 2 : tous les utilisateurs doivent supprimer Outlook pour iOS et Android. Toutes les données seront supprimées du service Outlook au bout d'une période de 3 à 7 jours.Option 2: Have all users delete Outlook for iOS and Android. All data will be removed from the Outlook service in approximately 3-7 days.

  • Option 3 : tous les utilisateurs doivent supprimer leurs comptes de l'application Outlook, puis supprimer l'application de leurs périphériques. Dans l'application, demandez aux utilisateurs d'accéder à Paramètres, d'appuyer sur Paramètres du compte, Sélectionner un compte, puis sur Supprimer le compte.Option 3: Have users remove their accounts from the Outlook app, and then delete the app from their devices. In the app, have users go to Settings, then tap Account Settings, then Select an Account, and then tap Delete Account.

L’application est fermée ou désinstallée, mais elle s’affiche encore comme connectée à mon serveur Exchange. Que se passe-t-il ? The app is closed or uninstalled, but I still see it connecting to my Exchange server. How is this happening?

Le service Outlook déchiffre les mots de passe utilisateur dans la mémoire de calcul d’exécution, puis utilise les mots de passe déchiffrés pour se connecter à Exchange. Étant donné que le service Outlook se connecte à Exchange à la place du périphérique afin d’extraire et de mettre en cache les données de la boîte aux lettres, il reste connecté pendant une courte période, jusqu’à ce que le service détecte qu’Outlook ne demande plus de données. The Outlook service decrypts user passwords in runtime compute memory and then uses the decrypted passwords to connect to Exchange. Since the Outlook service is connecting to Exchange on behalf of the device in order to fetch and cache mailbox data, it can continue for a short period of time until the service detects that Outlook is no longer requesting data.

Si un utilisateur désinstalle l'application de son périphérique sans passer d'abord par l'option Supprimer le compte, le service Outlook reste connecté à votre serveur Exchange jusqu'à ce que le compte devienne inactif, comme indiqué plus haut dans la section « Inactivité de compte et suppression des mots de passe de la mémoire ». Pour arrêter cette activité, il suffit de suivre l'Option 1 ou l'Option 3 indiquées dans le FAQ ci-dessus, ou de bloquer l'application comme décrit dans Blocage d'Outlook pour iOS et Android.If a user uninstalls the app from their device without first using the Delete Account option, the Outlook service will stay connected to your Exchange server until the account becomes inactive, as described above in "Account inactivity and flushing passwords from memory." To stop this activity, simply follow Option 1 or Option 3 from the above FAQ, or block the app, as described in Blocking Outlook for iOS and Android.

Le mot de passe utilisateur est-il moins sécurisé dans Outlook pour iOS et Android que dans d'autres clients Exchange ActiveSync ?Is a user password less secure in Outlook for iOS and Android than when using other Exchange ActiveSync clients?

Non. Clients EAS enregistrement généralement les informations d’identification utilisateur localement sur l’appareil de l’utilisateur. Cela signifie que d’un périphérique volé ou compromis peut entraîner une partie malveillante d’accès aux mots de passe de l’utilisateur. Avec la sécurité de conception d’Outlook pour iOS et Android, une partie malveillante besoin contre les accès pour le service de Outlook et aurait l’accès physique au périphérique d’un utilisateur.No. EAS clients generally save user credentials locally on the user's device. This means a stolen or compromised device could result in a malicious party gaining access to the user's password. With the security design of Outlook for iOS and Android, a malicious party would need unauthorized access to the Outlook service and have physical access to a user's device.

Que se passe-t-il si un utilisateur tente d’utiliser Outlook pour iOS et Android après que leurs données a été supprimées du service de nuage Outlook ?What happens if a user attempts to use Outlook for iOS and Android after their data has been deleted from the Outlook cloud service?

Si un compte d’utilisateur devient inactif (par exemple, si l’actualisation de l’application en arrière-plan est désactivée sur le périphérique ou si le périphérique se déconnecte d’Internet pendant un certain temps), l’application Outlook se reconnecte au service Outlook lors du prochain lancement de l’application, et le processus de chiffrement de mot de passe et de mise en cache des messages redémarre. Ce processus est transparent pour l’utilisateur. If a user account becomes inactive (such as by disabling background app refresh on the device or having their device disconnected from the Internet for a period of time), the Outlook app will reconnect to the Outlook service the next time the app is launched, and the password encryption and email caching process will restart. This is all transparent to the user.

Comment sont sécurisées les données de boîte aux lettres temporairement mises en cache pendant qu’elles sont stockées dans le service d’Outlook ?How is the temporarily cached mailbox data secured while stored in the Outlook service?

Vous pouvez découvrir comment nos données sont protégées à partir du Centre de gestion de la confidentialité Azure. Comme mentionné précédemment, nous allons glissant Azure pour Office 365. La sécurité de ces services est traitée dans Le centre de gestion de la confidentialité Office 365.You can read about how our data is currently protected at the Azure Trust Center. As noted previously, we're moving from Azure to Office 365. The security of these services is covered at the Office 365 Trust Center.

Existe-t-il un moyen d’empêcher l’utilisation de l’authentification de base pour les boîtes aux lettres locales avec Outlook pour iOS et Android ?Is there a way to prevent the use of Basic authentication for on-premises mailboxes with Outlook for iOS and Android?

Oui, vous pouvez déployer hybride authentification moderne. Pour plus d’informations, voir Using hybride moderne Authentication with Outlook pour iOS et Android.Yes, you can deploy hybrid Modern Authentication. For more information, see Using hybrid Modern Authentication with Outlook for iOS and Android.