Passwords and Security in Outlook for iOS and Android for Exchange ServerPasswords and Security in Outlook for iOS and Android for Exchange Server

Применимо к: Exchange Server 2010, Exchange Server 2013Applies to: Exchange Server 2010, Exchange Server 2013

Сводка: В этой статье описываются как пароли и обеспечение безопасности в Outlook для iOS и Android с использованием Exchange Server при использовании обычной проверки подлинности с помощью протокола Exchange ActiveSync.Summary: This article describes how passwords and security work in Outlook for iOS and Android with Exchange Server when using Basic authentication with the Exchange ActiveSync protocol.

Создание учетной записи и защита паролейCreating an account and protecting passwords

При первом запуске приложения Outlook для iOS и Android (en) в локальной среде Exchange Outlook создает случайный ключ AES-128. Этот ключ называется раздела устройства и хранятся на устройстве пользователя.The first time the Outlook app for iOS and Android is run in an Exchange on-premises environment, Outlook generates a random AES-128 key. This key is known as the device key and is stored only on the user's device.

Когда пользователь выполняет вход в Exchange с помощью обычной проверки подлинности, имя пользователя, пароль и уникальный ключ устройства AES-128 отправляются из устройств пользователя службы Outlook через подключения по протоколу TLS, где ключ устройства хранится в памяти compute времени выполнения. После проверки пароля с Exchange server, службы Outlook использует ключ устройства для шифрования пароля и зашифрованный пароль хранится в службе. В то же время ключ устройство является очистить из памяти и никогда не хранятся в службе Outlook (только хранится ключ на устройстве пользователя).When a user logs onto Exchange using Basic authentication, the username, password, and a unique AES-128 device key are sent from the user’s device to the Outlook service over a TLS connection, where the device key is held in runtime compute memory. After verifying the password with the Exchange server, the Outlook service uses the device key to encrypt the password, and the encrypted password is then stored in the service. The device key, meanwhile, is wiped from memory and never stored in the Outlook service (the key is only stored on the user’s device).

Когда пользователь подключается к Exchange для получения данных почтового ящика, ключ устройства снова передается с устройства в службу Outlook с помощью защищенного TLS-соединения, где он используется для расшифровки пароля в вычислительной памяти среды выполнения. После расшифровки пароль не сохраняется в службе и не записывается на локальный диск, а ключ устройства снова удаляется из памяти.Next, when a user attempts to connect to Exchange to retrieve mailbox data, the device key is again passed from the device to the Outlook service over a TLS-secured connection, where it is used to decrypt the password in runtime compute memory. Once decrypted, the password is never stored in the service or written to a local storage disk, and the device key is once again wiped from memory.

После расшифровки пароля в среде выполнения служба Outlook может подключаться к серверу Exchange Server для синхронизации почты, календаря и других данных почтового ящика. Если пользователь продолжает периодически открывать и использовать Outlook, служба будет хранить копию расшифрованного пароля пользователя в памяти, чтобы не разрывать соединение с сервером Exchange Server.After the Outlook service has decrypted the password at runtime, the service can then connect to the Exchange server to synchronize mail, calendar, and other mailbox data. As long as the user continues to open and use Outlook periodically, the Outlook cservice will keep a copy of the user's decrypted password in memory to keep the connection to the Exchange server active.

Отсутствие активности учетной записи и удаление паролей из памятиAccount inactivity and flushing passwords from memory

После трех дней бездействия служба Outlook удалит расшифрованный пароль из памяти. После удаления расшифрованного пароля служба Outlook не сможет получить доступ к почтовому ящику пользователя. Зашифрованный пароль остается в службе Outlook, но его нельзя расшифровать без ключа устройства, который хранится только на устройстве пользователя. After three days of inactivity, the Outlook service will flush a decrypted password from memory. With the decrypted password flushed, the Outlook service is unable to access a user's mailbox. The encrypted password remains stored in the Outlook service, but decrypting it again isn't possible without the device key, which is only available from the user's device.

Учетная запись пользователя может стать неактивной только в трех случаях:There are three ways a user account can become inactive:

  • если пользователь удалит программу Outlook для iOS и Android;Outlook for iOS and Android is uninstalled by the user.

  • если в настройках Outlook отключено обновление в фоновом режиме, а затем выполнено принудительное завершение работы программы;Background app refresh is disabled in the Settings options and then a force-quit is applied to Outlook.

  • если устройство не подключено к Интернету и синхронизация Outlook с Exchange невозможна.No internet connection is available on the device, preventing Outlook from synchronizing with Exchange.

Примечание

Учетная запись Outlook не станет неактивной, просто потому что пользователь некоторое время не открывает приложение, например во время выходных или отпуска. Если включено обновление приложения в фоновом режиме (это настройка Outlook для iOS и Android по умолчанию), обмен push-уведомлениями и фоновая синхронизация электронной почты будут считаться активностью.Outlook will not become inactive simply because the user does not open the app for a period of time, such as over a weekend or while on vacation. As long as background app refresh is enabled (which is the default setting for Outlook for iOS and Android), functions like push notifications and background synchronization of email will count as activity.

Удаление зашифрованного пароля и кэша сообщений с жесткого дискаFlushing encrypted password and message cache from hard disk

Служба Outlook еженедельно удаляет неактивные учетные записи. Когда учетная запись пользователя станет неактивной, служба Outlook удалит зашифрованный пароль и кэшированное содержимое почтового ящика пользователя. The Outlook service flushes, or deletes, inactive accounts on a weekly schedule. After a user account becomes inactive, the Outlook service will flush both the encrypted password and all of the user’s cached mailbox content out of the service.

Сочетание защиты устройства и службыDevice and service security combination

Уникальный ключ устройства пользователя не сохраняется в службе Outlook, а пароль пользователя Exchange не сохраняется на устройстве. Благодаря такой архитектуре, чтобы получить доступ к паролю пользователя, злоумышленнику понадобится получить несанкционированный доступ к службе Outlook и физический доступ к устройству пользователя.Each user’s unique device key is never stored in the Outlook service, and a user’s Exchange password is never stored on the device. This architecture means that in order for a malicious party to gain access to a user’s password, they would need both unauthorized access to the Outlook service and physical access to that user’s device.

Если в вашей организации применяются политики защиты с помощью ПИН-кода и шифрование устройств, злоумышленнику также придется взломать шифрование, только чтобы получить доступ к ключу устройства. Это все необходимо сделать до того, как пользователь заметит, что устройство взломано, и запросит его удаленную очистку.By enforcing PIN policies and encryption on devices in your organization, the malicious party would also have to defeat a device’s encryption just to get access to the device key. This would all have to take place before the user noticed that the device was compromised and could request a remote wipe for the device.

Защита паролем: вопросы и ответыPassword security FAQ

Следующие часто задаваемые вопросы, касающиеся проект системы безопасности и параметров в Outlook для iOS и Android при использовании обычной проверки подлинности.The following are frequently asked questions regarding security design and settings for Outlook for iOS and Android when used with Basic authentication.

Сохранятся ли учетные данные в службе Outlook, если я заблокирую доступ Outlook к моему серверу Exchange Server?Are user credentials stored in the Outlook service if I block Outlook from accessing my Exchange Server?

Если вы заблокируете доступ Outlook для iOS и Android к вашим локальным серверам Exchange Server, начальное подключение будет отклонено Exchange. Служба Outlook не будет сохранять учетные данные пользователя, а учетные данные, использованные при неудачной попытке подключения, будут немедленно удалены из памяти. If you have chosen to block Outlook for iOS and Android from accessing your on-premises Exchange servers, the initial connection will be rejected by Exchange. User credentials will not be stored by the Outlook service and the credentials presented in the failed connection attempt are immediately flushed from memory.

Как шифруются уникальный ключ устройства и пароль пользователя при передаче в службу Outlook?How is the unique device key and user password encrypted in transit to the Outlook service?

Для обмена данными между приложением Outlook и службой Outlook используется зашифрованное TLS-соединение. Outlook для iOS и Android может связываться исключительно со службой Outlook.All communication between the Outlook app and the Outlook service is through an encrypted TLS connection. The Outlook for iOS and Android is capable of connecting with the Outlook service and nothing else.

Как удалить учетные данные пользователя и данные почтового ящика из службы Outlook?How do I remove a user’s credentials and mailbox information from the Outlook service?

Удалить информацию из службы Outlook можно тремя способами.There are three ways to remove information from the Outlook service:

  • Способ 1. Запустите удаленную очистку для каждого пользователя, который использовал приложение для подключения к Exchange.Option 1: Initiate a Remote Wipe for each user who has used the app to connect to Exchange.

  • Способ 2. Попросите всех пользователей удалить приложение Outlook для iOS и Android. Все данные будут удалены из службы Outlook приблизительно через 3-7 дней.Option 2: Have all users delete Outlook for iOS and Android. All data will be removed from the Outlook service in approximately 3-7 days.

  • Способ 3. Попросите пользователей удалить их учетные записи из приложения Outlook, а затем удалить приложение со своих устройств. В приложении Outlook перейдите в меню Настройки, нажмите Настройки учетной записи > Выбрать учетную запись > Удалить учетную запись.Option 3: Have users remove their accounts from the Outlook app, and then delete the app from their devices. In the app, have users go to Settings, then tap Account Settings, then Select an Account, and then tap Delete Account.

Приложение закрыто или удалено, но оно по-прежнему подключается к моему серверу Exchange Server. С чем это связано? The app is closed or uninstalled, but I still see it connecting to my Exchange server. How is this happening?

Служба Outlook расшифровывает пароли в вычислительной памяти среды выполнения, а затем использует расшифрованные пароли для подключения к Exchange. Так как служба Outlook подключается к Exchange для извлечения и кэширования данных почтового ящика от имени устройства, это может продолжаться некоторое время, пока служба не обнаружит, что Outlook больше не запрашивает данные. The Outlook service decrypts user passwords in runtime compute memory and then uses the decrypted passwords to connect to Exchange. Since the Outlook service is connecting to Exchange on behalf of the device in order to fetch and cache mailbox data, it can continue for a short period of time until the service detects that Outlook is no longer requesting data.

Если пользователь удалит приложение со своего устройства, не воспользовавшись параметром Удалить учетную запись, служба Outlook останется подключенной к серверу Exchange Server, пока учетная запись не станет неактивной, как описано выше в разделе "Отсутствие активности учетной записи и удаление паролей из памяти". Чтобы остановить эту активность, просто воспользуйтесь способом 1 или 3 из раздела "Вопросы и ответы" выше или заблокируйте приложение, как описано в статье Блокировка Outlook для iOS и Android.If a user uninstalls the app from their device without first using the Delete Account option, the Outlook service will stay connected to your Exchange server until the account becomes inactive, as described above in "Account inactivity and flushing passwords from memory." To stop this activity, simply follow Option 1 or Option 3 from the above FAQ, or block the app, as described in Blocking Outlook for iOS and Android.

Является ли пароль пользователя менее надежной защитой при использовании Outlook для iOS и Android, чем при использовании других клиентов Exchange ActiveSync?Is a user password less secure in Outlook for iOS and Android than when using other Exchange ActiveSync clients?

Нет. Обычно клиенты EAS хранят учетные данные пользователя локально на его устройстве. Таким образом, если устройство украдено или взломано, злоумышленник может получить доступ к паролю пользователя. Благодаря структуре безопасности Outlook для iOS и Android злоумышленнику потребуется получить несанкционированный доступ к облачной службе Outlook и физический доступ к устройству пользователя.No. EAS clients generally save user credentials locally on the user's device. This means a stolen or compromised device could result in a malicious party gaining access to the user's password. With the security design of Outlook for iOS and Android, a malicious party would need unauthorized access to the Outlook cloud service and have physical access to a user's device.

Что произойдет, если пользователь попытается использовать Outlook для iOS и Android после удаления данных из службы Outlook?What happens if a user attempts to use Outlook for iOS and Android after their data has been deleted from the Outlook service?

Если учетная запись пользователя станет неактивной (например, если отключено обновление приложения в фоновом режиме или устройство длительное время находится офлайн), приложение Outlook подключится к службе Outlook при следующем запуске, и процесс шифрования пароля и кэширования электронной почты начнется заново. Все эти процессы видны пользователю. If a user account becomes inactive (such as by disabling background app refresh on the device or having their device disconnected from the Internet for a period of time), the Outlook app will reconnect to the Outlook service the next time the app is launched, and the password encryption and email caching process will restart. This is all transparent to the user.

Как обеспечивается защита временно кэшированных данных почтового ящика в службе Outlook?How is the temporarily cached mailbox data secured while stored in the Outlook service?

Вы найдете сведения как данные в текущий момент защищенного в Центр управления безопасностью Azure. Как было указано ранее, мы выполняется перенос из Azure в Office 365. Безопасность этих служб будет рассмотрен в Центре управления безопасностью Office 365.You can read about how our data is currently protected at the Azure Trust Center. As noted previously, we're moving from Azure to Office 365. The security of these services is covered at the Office 365 Trust Center.

Существует ли способ, чтобы запретить использование обычной проверки подлинности для локальных почтовых ящиков с помощью Outlook для iOS и Android?Is there a way to prevent the use of Basic authentication for on-premises mailboxes with Outlook for iOS and Android?

Да, вы можете развернуть современных гибридного проверки подлинности. Для получения дополнительных сведений см Using гибридного современных проверки подлинности с помощью Outlook для iOS и Android (en).Yes, you can deploy hybrid modern authentication. For more information, see Using hybrid Modern Authentication with Outlook for iOS and Android.