Povolení podpory pro obsah šifrovaný AES256-CBC v Exchange Server SU ze srpna 2023

Povolení podpory šifrování AES256-CBC v Exchange Server 

Aktualizace SU pro Exchange Server ze srpna 2023 podporuje dešifrování e-mailových zpráv a příloh šifrovaných v režimu AES256-CBC. Pokud chcete tuto podporu povolit, postupujte takto: 

1. Nainstalujte si SU ze srpna 2023 na všechny servery Exchange 2019 a 2016.

2. Na všech serverech Exchange 2019 a 2016 spusťte následující rutiny.

   Poznámka: Než budete pokračovat krokem 3, proveďte krok 2 na všech serverech Exchange 2019 a 2016 ve vašem prostředí.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Poznámka: Klíč $acl -AclObject se přidá do registru během instalace srpnové aktualizace SU. 

3. Pokud používáte AzRMS, musí se konektor AzRMS aktualizovat na všech serverech Exchange. Spuštěním aktualizovaného skriptu GenConnectorConfig.ps1 vygenerujte klíče registru, které jsou zavedeny pro podporu režimu AES256-CBC v SU Exchange Server srpna 2023 a novějších verzích Exchange. Stáhněte si nejnovější skript GenConnectorConfig.ps1 z webu Microsoft Download Center.

   Další informace o tom, jak nakonfigurovat servery Exchange pro použití konektoru, najdete v tématu Konfigurace serverů pro konektor Microsoft Rights Management.Tento článek popisuje konkrétní změny konfigurace pro Exchange Server 2019 a Exchange Server 2016. 
   
   Další informace o konfiguraci serverů pro konektor Rights Management, včetně toho, jak ho spustit a jak nasadit nastavení, najdete v tématu Nastavení registru pro Rights Management Connector.

4. Pokud máte nainstalovanou aktualizaci SU ze srpna 2023, podporuje se v Exchange Server pouze dešifrování E-mailových zpráv a příloh zašifrovaných CBC AES-256. Pokud chcete tuto podporu povolit, spusťte následující přepsání nastavení:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Kromě změn provedených v SU ze srpna 2023 přidává aktualizace SU z října 2023 podporu šifrování e-mailových zpráv a příloh v režimu AES256-CBC. Pokud máte nainstalovanou aktualizaci SU z října 2023, spusťte následující přepsání nastavení:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Aktualizujte argument VariantConfiguration. Provedete to spuštěním následující rutiny:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Pokud chcete použít nové nastavení, restartujte službu publikování na webu a aktivační službu procesů systému Windows (WAS). Provedete to spuštěním následující rutiny:
   
   Restart-Service -Name W3SVC, WAS -Force

Pokud máte hybridní nasazení Exchange (poštovní schránky v místním prostředí i Exchange Online) 

Organizace, které používají Exchange Server společně s konektorem služby Azure Rights Management Service Connector (Azure RMS), budou z aktualizace režimu AES256-CBC v Exchange Online automaticky odhlášení nejméně do ledna 2024. Pokud ale chcete používat bezpečnější režim AES-256 CBC k šifrování e-mailových zpráv a příloh v Exchange Online a dešifrování takových e-mailových zpráv a příloh v Exchange Server, proveďte tyto kroky a proveďte potřebné změny v nasazení Exchange Server.  

Po dokončení požadovaných kroků otevřete případ podpory a požádejte o aktualizaci nastavení Exchange Online, aby se povolil režim AES256-CBC.  

Pokud používáte Microsoft 365 Apps s Exchange Server 

Ve výchozím nastavení budou všechny aplikace M365, například Microsoft Outlook, Microsoft Word, Microsoft Excel a Microsoft PowerPoint, používat šifrování režimu AES256-CBC od srpna 2023. 

Následující část popisuje, jak vynutit AES128-ECB pro uživatele, kteří používají nastavení registru a Zásady skupiny.

Office a Microsoft 365 Apps pro Windows můžete nakonfigurovat tak, aby používaly režim ECB nebo CBC, a to pomocí nastavení Režim šifrování pro správu přístupových práv k informacím (IRM) v částiConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Ve výchozím nastavení se režim CBC používá od verze 16.0.16327 Microsoft 365 Apps. 

Pokud chcete například vynutit režim CBC pro klienty Windows, nastavte Zásady skupiny následujícím způsobem: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Informace o konfiguraci nastavení pro klienty Office pro Mac najdete v tématu Nastavení předvoleb pro celou sadu pro Office pro Mac.

Další informace najdete v části "AES256-CBC support for Microsoft 365" (Podpora AES256-CBC pro Microsoft 365) v tématu Technické referenční informace o šifrování.