Password e sicurezza in Outlook per iOS e Android per Exchange Server
Questo articolo descrive il funzionamento delle password e della sicurezza in Outlook per iOS e Android con Exchange Server quando si usa l'autenticazione di base con il protocollo Exchange ActiveSync.
Importante
Outlook per iOS e Android supporta l'autenticazione moderna ibrida per le cassette postali locali, eliminando la necessità di sfruttare l'autenticazione di base. Le informazioni contenute in questo articolo riguardano solo l'autenticazione di base. Per altre informazioni, vedere Uso dell'autenticazione moderna ibrida con Outlook per iOS e Android.
Creazione di un account e protezione password
La prima volta che l'app Outlook per iOS e Android viene eseguita in un ambiente Exchange locale, Outlook genera una chiave AES-128 casuale. Questa chiave è nota come la chiave dispositivo e viene archiviata solo nel dispositivo dell'utente.
Quando un utente accede a Exchange con l'autenticazione di base, il nome utente, la password e una chiave univoca del dispositivo AES-128 vengono inviati dal dispositivo dell'utente al servizio cloud di Outlook tramite una connessione TLS, in cui la chiave del dispositivo è contenuta nella memoria di calcolo di runtime. Dopo aver verificato la password con il server Exchange, l'architettura basata su Microsoft 365 o Office 365 usa la chiave del dispositivo per crittografare la password e la password crittografata viene quindi archiviata nel servizio. La chiave del dispositivo, nel frattempo, viene cancellata dalla memoria e non viene mai archiviata nell'architettura basata su Microsoft 365 o Office 365 (la chiave viene archiviata solo nel dispositivo dell'utente).
Successivamente, quando un utente tenta di connettersi a Exchange per recuperare i dati della cassetta postale, la chiave del dispositivo viene nuovamente passata dal dispositivo all'architettura basata su Microsoft 365 o Office 365 tramite una connessione protetta da TLS, in cui viene usata per decrittografare la password nella memoria di calcolo in fase di esecuzione. Una volta decrittografata, la password non viene mai archiviata nel servizio o scritta in un disco di archiviazione locale e la chiave del dispositivo viene di nuovo cancellata dalla memoria.
Dopo che l'architettura basata su Microsoft 365 o Office 365 ha decrittografato la password in fase di esecuzione, il servizio può quindi connettersi al server Exchange per sincronizzare posta, calendario e altri dati delle cassette postali. Finché l'utente continua ad aprire e usare Outlook periodicamente, l'architettura basata su Microsoft 365 o Office 365 manterrà in memoria una copia della password decrittografata dell'utente per mantenere attiva la connessione al server Exchange.
Considerazioni sulla conformità durante l'invio di password
Prima di abilitare qualsiasi elemento che consenta la trasmissione delle password dall'ambiente Exchange locale, assicurarsi di considerare le possibili ramificazioni. Ad esempio, la trasmissione delle password all'architettura basata su Microsoft 365 o Office 365 potrebbe comportare l'impossibilità di soddisfare i requisiti di PCI-DSS o ISO/IEC 27001.
Inoltre, se si connettono e sincronizzano posta elettronica, calendari e altri dati correlati alla posta elettronica, si potrebbero riscontrare problemi di conformità al GDPR, che limita le informazioni private che è possibile trasmettere senza il consenso del proprietario. Queste informazioni potrebbero essere contenute in e trovate all'interno di messaggi di posta elettronica, elementi del calendario e così via.
Inattività account ed eliminazione password dalla memoria
Dopo tre giorni di inattività, l'architettura basata su Microsoft 365 o Office 365 scarica una password decrittografata dalla memoria. Con la password decrittografata scaricata, l'architettura non è in grado di accedere alla cassetta postale di un utente in locale. La password crittografata rimane archiviata nell'architettura basata su Microsoft 365 o Office 365, ma la decrittografia non è possibile senza la chiave del dispositivo, disponibile solo dal dispositivo dell'utente.
Esistono tre modi in cui un account utente può diventare inattivo:
Outlook per iOS e Android vengono disinstallati dall'utente.
L'aggiornamento dell'app in background è disabilitato nelle opzioni Impostazioni e quindi viene applicata una chiusura forzata a Outlook.
Il dispositivo non è connesso a Internet, impedendo a Outlook di sincronizzarsi con Exchange.
Nota
Outlook non diventerà inattivo semplicemente perché l'utente non apre l'app per qualche tempo, ad esempio durante un fine settimana o in vacanza. Finché l'aggiornamento dell'app in background è abilitato (impostazione predefinita per Outlook per iOS e Android), funzioni come le notifiche pus e la sincronizzazione in background della posta elettronica vengono considerata attività.
Scaricamento della password crittografata e dei dati sincronizzati delle cassette postali da Microsoft 365 o Office 365
L'architettura basata su Microsoft 365 o Office 365 scarica o elimina gli account inattivi in base a una pianificazione settimanale. Dopo che un account utente diventa inattivo, l'architettura scarica dal servizio sia la password crittografata che tutto il contenuto sincronizzato della cassetta postale dell'utente.
Combinazione di sicurezza dispositivo e servizio
La chiave univoca del dispositivo di ogni utente non viene mai archiviata nell'architettura basata su Microsoft 365 o Office 365 e la password di Exchange di un utente non viene mai archiviata nel dispositivo. Questa architettura significa che per consentire a una parte malintenzionata di accedere alla password di un utente, è necessario l'accesso non autorizzato all'architettura di Microsoft 365 o basata su Office 365 e l'accesso fisico al dispositivo dell'utente.
Applicando i criteri PIN e la crittografia nei dispositivi dell'organizzazione, la parte malintenzionata dovrebbe anche sconfiggere la crittografia di un dispositivo per ottenere l'accesso alla chiave del dispositivo. Tutto ciò dovrebbe avvenire prima che all'utente venga inviata la notifica sulla compromissione del dispositivo e che possa richiedere la cancellazione remota del dispositivo.
Domande frequenti sulla sicurezza del dispositivo
Di seguito sono riportate le domande frequenti relative alla progettazione della sicurezza e alle impostazioni per Outlook per iOS e Android quando vengono usate con l'autenticazione di base.
Le credenziali utente vengono archiviate nell'architettura basata su Microsoft 365 o Office 365 se si impedisce a Outlook di accedere al Exchange Server?
Se si sceglie di bloccare l'accesso di Outlook per iOS e Android ai server Exchange locali, la connessione iniziale verrà rifiutata da Exchange. Le credenziali utente non verranno archiviate dal servizio cloud Outlook e le credenziali presentate nel tentativo di connessione non riuscito vengono immediatamente rimosse dalla memoria.
In che modo la chiave univoca del dispositivo e la password utente vengono crittografate in transito verso l'architettura basata su Microsoft 365 o Office 365?
Tutta la comunicazione tra l'app Outlook e l'architettura basata su Microsoft 365 o Office 365 avviene tramite una connessione TLS crittografata. L'app Outlook è in grado di connettersi con l'architettura basata su Microsoft 365 o Office 365 e nient'altro.
Ricerca per categorie rimuovere le credenziali e le informazioni della cassetta postale di un utente dall'architettura basata su Microsoft 365 o Office 365?
Chiedere all'utente di disinstallare Outlook per iOS e Android in tutti i dispositivi. Tutti i dati verranno rimossi dall'architettura basata su Microsoft 365 o Office 365 in circa 3-7 giorni.
L'app viene chiusa o disinstallata, ma continua a connettersi al server Exchange. Perché succede?
L'architettura basata su Microsoft 365 o Office 365 decrittografa le password utente nella memoria di calcolo di runtime e quindi usa le password decrittografate per connettersi a Exchange. Poiché l'architettura si connette a Exchange per conto del dispositivo per recuperare e memorizzare nella cache i dati delle cassette postali, può continuare per un breve periodo fino a quando il servizio non rileva che Outlook non richiede più dati.
Se un utente disinstalla l'app dal proprio dispositivo senza prima usare l'opzione Elimina account, l'architettura basata su Microsoft 365 o Office 365 rimarrà connessa al server Exchange fino a quando l'account non diventa inattivo, come descritto in precedenza in "Inattività dell'account e scaricamento delle password dalla memoria". Per arrestare questa attività, seguire l'opzione 1 o l'opzione 3 delle domande frequenti precedenti oppure bloccare l'app, come descritto in Blocco di Outlook per iOS e Android.
Una password è meno sicura in Outlook per iOS e Android che quando si utilizzano altri client Exchange ActiveSync?
No. I client EAS in genere salvano le credenziali utente localmente nel dispositivo dell'utente. Ciò significa che se un dispositivo viene rubato o compromesso, una parte malintenzionata potrebbe riuscire ad accedere alla password dell'utente. Con la progettazione della sicurezza di Outlook per iOS e Android, una parte malintenzionata avrebbe bisogno di accesso non autorizzato all'architettura basata su Microsoft 365 o Office 365 e avrebbe accesso fisico al dispositivo di un utente.
Cosa succede se un utente tenta di usare Outlook per iOS e Android dopo che i suoi dati sono stati eliminati dal servizio cloud di Outlook?
Se un account utente diventa inattivo, ad esempio disabilitando l'aggiornamento dell'app in background nel dispositivo o disconnettendo il dispositivo da Internet per qualche tempo, l'app Outlook si riconnetterà all'architettura basata su Microsoft 365 o Office 365 la prossima volta che l'app viene avviata e il processo di crittografia delle password e memorizzazione nella cache della posta elettronica verrà riavviato. Questa operazione è trasparente per l'utente.
Esiste un modo per impedire l'uso dell'autenticazione di base per le cassette postali locali con Outlook per iOS e Android?
Sì, è possibile distribuire l'autenticazione moderna ibrida. Per ulteriori informazioni, vedere Using hybrid Modern Authentication with Outlook for iOS and Android.