Разрешаване на поддръжката за съдържание, шифровано с AES256 CBC, в Exchange Server август 2023 г.

Разрешаване на поддръжка за AES256-CBC режим на шифроване в Exchange Server  

SU за август 2023 г. за Exchange Server поддържа дешифроване на шифровани с AES256-CBC режим имейл съобщения и прикачени файлове. За да разрешите тази поддръжка, изпълнете следните стъпки: 

1. Инсталирайте СУ от август 2023 г. на всички ваши сървъри на Exchange 2019 и 2016.

2. Изпълнете следните кратки команди на всички сървъри на Exchange 2019 и 2016.

   Забележка: Изпълнете стъпка 2 на всички сървъри на Exchange 2019 и 2016 във вашата среда, преди да продължите със стъпка 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Забележка: Ключът -AclObject $acl се добавя към системния регистър по време на инсталирането на SU през август. 

3. Ако използвате AzRMS, AzRMS конекторът трябва да бъде актуализиран на всички сървъри на Exchange. Изпълнете актуализирания скрипт на GenConnectorConfig.ps1 , за да генерирате ключовете от системния регистър, които са въведени за поддръжката на режим AES256 CBC в Exchange Server август 2023 г. за su и по-нови версии на Exchange. Изтеглете най-новия GenConnectorConfig.ps1 скрипт от центъра на Microsoft за изтегляния.

   За повече информация как да конфигурирате сървърите на Exchange да използват конектора, вижте Конфигуриране на сървъри за конектор на Microsoft Rights Management.В статията се обсъждат конкретни промени в конфигурацията за Exchange Server 2019 и Exchange Server 2016 г. 
   
   За повече информация как да конфигурирате сървъри за конектора за управление на правата, включително как да го изпълните и как да разположите настройките, вижте Настройки на системния регистър за конектора за управление на правата.

4. Ако имате инсталиран SU от август 2023 г., има поддръжка само за дешифриране на шифровани с AES-256 CBC имейл съобщения и прикачени файлове в Exchange Server . За да разрешите тази поддръжка, изпълнете следната настройка замяна:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   В допълнение към промените, направени в суап от август 2023 г., суиповете от октомври 2023 г. добавят поддръжка за шифроване на имейл съобщения и прикачени файлове в режим AES256-CBC. Ако имате инсталиран СУ от октомври 2023 г., изпълнете следните замествания на настройките:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Обновете аргумента VariantConfiguration. За да направите това, изпълнете следната кратка команда:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. За да приложите новите настройки, рестартирайте услугата за публикуване World Wide Web и услугата за активиране на процеси на Windows (WAS). За да направите това, изпълнете следната кратка команда:
   
   Restart-Service -Name W3SVC, WAS -Force

Ако имате хибридно разполагане на Exchange (пощенски кутии както локално, така и в Exchange Online) 

Организациите, които използват Exchange Server заедно с конектора за услуги за Azure Rights Management (Azure RMS), автоматично ще бъдат отписани от актуализацията на режима AES256 CBC в Exchange Online най-малко до януари 2024 г. Ако обаче искате да използвате по-сигурния AES-256 CBC режим за шифроване на имейл съобщения и прикачени файлове в Exchange Online и дешифриране на тези имейл съобщения и прикачени файлове в Exchange Server , изпълнете тези стъпки, за да направите необходимите промени във вашето Exchange Server разполагане.  

След като изпълните необходимите стъпки, отворете случай на поддръжка и след това поискайте настройката за Exchange Online да бъде актуализирана, за да разрешите режим AES256 CBC.  

Ако използвате Приложения на Microsoft 365 с Exchange Server  

По подразбиране всички ваши приложения M365, като например Microsoft Outlook, Microsoft Word, Microsoft Excel и Microsoft PowerPoint, ще използват шифроване на AES256 CBC режим, започвайки от август 2023 г. 

Следващият раздел описва как да наложите AES128-ЕЦБ за потребителите, които използват настройките на системния регистър и групови правила.

Можете да конфигурирате Office и Приложения на Microsoft 365 за Windows да използва ЕЦБ или CBC режим с помощта на настройката Режим на шифроване за управление на правата за достъп до информация (IRM) подConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. По подразбиране се използва режим на CBC, започващ от версия 16.0.16327 на Приложения на Microsoft 365. 

Например за принудително изпълнение на CBC режим за клиенти на Windows задайте настройката за групови правила по следния начин: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

За да конфигурирате настройките за клиенти на Office for Mac, вижте Задаване на предпочитания за целия пакет за Office for Mac.

За повече информация вижте раздела "Поддръжка на AES256 CBC за Microsoft 365" на Подробности за техническа справка относно шифроването.