Пароли и безопасность в Outlook для iOS и Android для Exchange Server

  • Статья

В этой статье описывается, как работают пароли и безопасность в Outlook для iOS и Android с Exchange Server при использовании обычной проверки подлинности с протоколом Exchange ActiveSync.

Важно!

Outlook для iOS и Android поддерживает гибридную современную проверку подлинности для локальных почтовых ящиков, что устраняет необходимость использования базовой проверки подлинности. Сведения, содержащиеся в этой статье, относятся только к обычной проверке подлинности. Дополнительные сведения см. в статье Использование гибридной современной проверки подлинности с Outlook для iOS и Android.

Создание учетной записи и защита паролей

При первом запуске в локальной среде Exchange приложение Outlook для iOS и Android создает случайный ключ AES-128. Этот ключ известен как ключ устройства и хранится только на устройстве пользователя.

Когда пользователь входит в Exchange с помощью обычной проверки подлинности, имя пользователя, пароль и уникальный ключ устройства AES-128 отправляются с устройства пользователя в облачную службу Outlook по протоколу TLS, где ключ устройства хранится в вычислительной памяти среды выполнения. После проверки пароля на сервере Exchange архитектура Microsoft 365 или Office 365 использует ключ устройства для шифрования пароля, а затем зашифрованный пароль сохраняется в службе. Ключ устройства, тем временем, очищается из памяти и никогда не сохраняется в архитектуре на основе Microsoft 365 или Office 365 (ключ хранится только на устройстве пользователя).

Затем, когда пользователь пытается подключиться к Exchange для получения данных почтового ящика, ключ устройства снова передается с устройства в архитектуру на основе Microsoft 365 или Office 365 через защищенное tls-подключение, где он используется для расшифровки пароля в вычислительной памяти среды выполнения. После расшифровки пароль не сохраняется в службе и не записывается на локальный диск, а ключ устройства снова удаляется из памяти.

После того как архитектура на основе Microsoft 365 или Office 365 расшифровывает пароль во время выполнения, служба может подключиться к серверу Exchange Server для синхронизации данных почты, календаря и других данных почтового ящика. Пока пользователь продолжает периодически открывать и использовать Outlook, архитектура Microsoft 365 или Office 365 будет хранить копию расшифрованного пароля пользователя в памяти, чтобы сохранить подключение к Exchange Server активным.

Рекомендации по соответствию при отправке паролей

Прежде чем включить все, что позволяет передавать пароли из локальной среды Exchange, обязательно рассмотрите возможные последствия. Например, передача паролей в архитектуру Microsoft 365 или Office 365 может привести к невозможности выполнить требования PCI-DSS или ISO/IEC 27001.

Кроме того, при подключении и синхронизации электронной почты, календарей и других данных, связанных с электронной почтой, могут возникнуть проблемы с соответствием GDPR, который ограничивает частную информацию, которую вы можете передавать без согласия владельца. Эта информация может содержаться в сообщениях электронной почты, элементах календаря и т. д.

Отсутствие активности учетной записи и удаление паролей из памяти

После трех дней бездействия архитектура Microsoft 365 или Office 365 будет удалять расшифрованный пароль из памяти. После очистки расшифрованного пароля архитектура не может получить доступ к почтовому ящику пользователя в локальной среде. Зашифрованный пароль сохраняется в архитектуре Microsoft 365 или Office 365, но расшифровать его снова невозможно без ключа устройства, доступного только с устройства пользователя.

Учетная запись пользователя может стать неактивной только в трех случаях:

  • если пользователь удалит программу Outlook для iOS и Android;

  • Обновление фонового приложения отключено в параметрах "Параметры", а затем принудительное закрытие применяется к Outlook.

  • если устройство не подключено к Интернету и синхронизация Outlook с Exchange невозможна.

Примечание.

Outlook не станет неактивным просто потому, что пользователь не открывает приложение в течение некоторого времени, например в выходные дни или в отпуске. Если включено обновление приложения в фоновом режиме (это настройка Outlook для iOS и Android по умолчанию), обмен push-уведомлениями и фоновая синхронизация электронной почты будут считаться активностью.

Очистка зашифрованных паролей и синхронизированных данных почтового ящика из Microsoft 365 или Office 365

Архитектура На основе Microsoft 365 или Office 365 очищает или удаляет неактивные учетные записи по еженедельной графике. После того как учетная запись пользователя станет неактивной, архитектура будет сбрасывать зашифрованный пароль и все синхронизированное содержимое почтового ящика пользователя из службы.

Сочетание защиты устройства и службы

Уникальный ключ устройства каждого пользователя никогда не хранится в архитектуре на основе Microsoft 365 или Office 365, а пароль пользователя Exchange никогда не сохраняется на устройстве. Эта архитектура означает, что злоумышленнику, чтобы получить доступ к паролю пользователя, ей потребуется как несанкционированный доступ к архитектуре Microsoft 365 или Office 365, так и физический доступ к устройству этого пользователя.

Применяя политики ПИН-кода и шифрование на устройствах в вашей организации, злоумышленнику также придется победить шифрование устройства, чтобы получить доступ к ключу устройства. Это все необходимо сделать до того, как пользователь заметит, что устройство взломано, и запросит его удаленную очистку.

Защита паролем: вопросы и ответы

Ниже приведены часто задаваемые вопросы о структуре и параметрах безопасности Outlook для iOS и Android при использовании с обычной проверкой подлинности.

Хранятся ли учетные данные пользователя в архитектуре Microsoft 365 или на основе Office 365, если я не могу получить доступ к Exchange Server в Outlook?

Если вы заблокируете доступ Outlook для iOS и Android к вашим локальным серверам Exchange Server, начальное подключение будет отклонено Exchange. Учетные данные пользователя не будут храниться облачной службой Outlook, а учетные данные, представленные в неудачной попытке подключения, немедленно удаляются из памяти.

Как шифруются уникальный ключ устройства и пароль пользователя при передаче в архитектуру на основе Microsoft 365 или Office 365?

Весь обмен данными между приложением Outlook и архитектурой Microsoft 365 или Office 365 осуществляется через зашифрованное подключение TLS. Приложение Outlook может подключаться к архитектуре на основе Microsoft 365 или Office 365 и ничего другого.

Разделы справки удалить учетные данные пользователя и сведения о почтовом ящике из архитектуры microsoft 365 или Office 365?

Пользователь должен удалить Outlook для iOS и Android на всех устройствах. Все данные будут удалены из архитектуры Microsoft 365 или Office 365 примерно через 3–7 дней.

Приложение закрыто или удалено, но оно по-прежнему подключается к моему серверу Exchange Server. С чем это связано?

Архитектура на основе Microsoft 365 или Office 365 расшифровывает пароли пользователей в вычислительной памяти среды выполнения, а затем использует расшифрованные пароли для подключения к Exchange. Так как архитектура подключается к Exchange от имени устройства для получения и кэширования данных почтового ящика, она может продолжаться в течение короткого периода, пока служба не обнаружит, что Outlook больше не запрашивает данные.

Если пользователь удаляет приложение со своего устройства, не используя параметр Удалить учетную запись, архитектура Microsoft 365 или Office 365 будет оставаться на связи с сервером Exchange Server до тех пор, пока учетная запись не станет неактивной, как описано выше в разделе "Бездействие учетной записи и сброс паролей из памяти". Чтобы остановить это действие, следуйте варианту 1 или варианту 3 из приведенных выше часто задаваемых вопросов или заблокируйте приложение, как описано в разделе Блокировка Outlook для iOS и Android.

Является ли пароль пользователя менее надежной защитой при использовании Outlook для iOS и Android, чем при использовании других клиентов Exchange ActiveSync?

Нет. Обычно клиенты EAS хранят учетные данные пользователя локально на его устройстве. Таким образом, если устройство украдено или взломано, злоумышленник может получить доступ к паролю пользователя. При разработке системы безопасности Outlook для iOS и Android злоумышленнику потребуется несанкционированный доступ к архитектуре на основе Microsoft 365 или Office 365 и физический доступ к устройству пользователя.

Что произойдет, если пользователь попытается использовать Outlook для iOS и Android после удаления данных из облачной службы Outlook?

Если учетная запись пользователя становится неактивной (например, при отключении фонового обновления приложения на устройстве или отключении устройства от Интернета в течение некоторого времени), приложение Outlook повторно подключится к архитектуре на основе Microsoft 365 или Office 365 при следующем запуске приложения, а процесс шифрования паролей и кэширования электронной почты перезапускается. Все эти процессы видны пользователю.

Можно ли предотвратить использование обычной проверки подлинности для локальных почтовых ящиков с Outlook для iOS и Android?

Да, можно развернуть гибридную современную проверку подлинности. Дополнительные сведения см. в статье Использование гибридной современной проверки подлинности с Outlook для iOS и Android.