ניתן להשתמש ב'דחיפת הודעות' של שירותי האינטרנט של Exchange כדי לקבל גישה לא מורשית

חל על
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

תרחיש

בחן את התרחיש הבא:

  • במחשב שלך פועל Exchange Server.
  • הפכת את שירותי האינטרנט של Exchange (EWS) לזמינים.
  • דחיפת הודעות מופעלת ומשמשת בסביבה שלך.

גורם

כאשר לקוח נרשם כמנוי לדחיפת הודעות מ- Exchange Server, ההודעות הנשלחות ללקוח כוללות מידע NTLM שיכול לשמש לאימות כשרת שבו פועל Exchange Server. מידע זה נכלל בעבר כדי לאפשר תגובה מאומתת ללקוחות שנרשמו אליהם כמנויים. רק הודעות דחיפה מושפעות. הודעות משיכה והזרמה אינן מושפעות.

פתרון

כדי לעקוף תרחיש זה ולמנוע שימוש לרעה במידע, הגדר מדיניות ויסות שמונעת שליחה של הודעות EWS ללקוחות שנרשמו אליהם כמנויים. למרות שרק הודעות דחיפה כפופות לאופן פעולה זה, מדיניות ויסות משפיעה על הודעות דחיפה, משיכה והודעות זרימה באותה מידה.

הערה פתרון זה גורם ללקוחות מסוימים לא לפעול כראוי. בכך נכללות Outlook עבור Mac, Skype for Business, לקוחות דואר מקוריים של iOS וכמה לקוחות אחרים של ספקים חיצוניים. הוא עשוי לכלול גם יישומי LOB מותאמים אישית.

פתרון

Microsoft שינתה את חוזה ההודעות שנוצר בין לקוחות EWS ושרתים שמפעילים Exchange Server לא לאפשר הזרמה של הודעות מאומתות על-ידי השרת. במקום זאת, הודעות אלה מוזרמות באמצעות מנגנוני אימות אנונימיים. מאחר שלקוח יצטרך לבצע אימות כדי ליצור את המנוי, גישה זו נחשבת לעיצוב מתאים והכרחי להגנה על האישורים והזהות של השרת. לאחר שינוי זה, לקוחות המסתמכים על דחיפת הודעות מאומתת של EWS מהשרת שבו פועל Exchange Server ידרשו עדכון לקוח כדי להמשיך לפעול כראוי.

שינוי זה באופן הפעולה נכנס לתוקף במהדורות הבאות של Exchange: