Exchange 웹 서비스 푸시 알림을 사용하여 무단 액세스를 얻을 수 있습니다.

적용 대상
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

시나리오

다음 시나리오를 고려하세요.

  • Exchange Server를 실행 중입니다.
  • EWS(Exchange 웹 서비스)를 사용하도록 설정했습니다.
  • 푸시 알림이 사용자 환경에서 활성화되고 사용됩니다.

원인

클라이언트가 Exchange Server에서 푸시 알림을 구독하는 경우 클라이언트로 전송되는 알림에는 Exchange Server를 실행하는 서버로 인증하는 데 사용할 수 있는 NTLM 정보가 포함됩니다. 이 정보는 이전에 구독한 클라이언트에 인증된 응답을 허용하기 위해 포함되었습니다. 푸시 알림만 영향을 받습니다. 끌어오기 및 스트리밍 알림은 영향을 받지 않습니다.

해결 방법

이 시나리오를 해결하고 정보가 오용되지 않도록 하려면 EWS 알림이 구독된 클라이언트로 전송되지 않도록 하는 제한 정책을 정의합니다. 푸시 알림만 이 동작의 적용을 받지만 제한 정책은 푸시, 끌어오기 및 스트리밍 알림에 동일하게 영향을 줍니다.

노트 이 해결 방법으로 인해 일부 클라이언트가 제대로 작동하지 않습니다. 여기에는 Mac용 Outlook, 비즈니스용 Skype, 기본 iOS 메일 클라이언트 및 기타 타사 클라이언트가 포함됩니다. 사용자 지정 LOB 애플리케이션이 포함될 수도 있습니다.

해결 방법

Microsoft는 서버에서 인증된 알림을 스트리밍할 수 없도록 Exchange Server를 실행하는 서버와 EWS 클라이언트와 서버 간에 설정된 알림 계약을 변경했습니다. 대신 이러한 알림은 익명 인증 메커니즘을 사용하여 스트리밍됩니다. 클라이언트는 구독을 설정하기 위해 인증해야 하기 때문에 이 방법은 서버의 자격 증명과 ID를 보호하기 위한 적절하고 필요한 디자인으로 간주됩니다. 이 변경 이후, Exchange Server를 실행하는 서버에서 인증된 EWS 푸시 알림에 의존하는 클라이언트가 계속 제대로 작동하려면 클라이언트 업데이트가 필요합니다.

이러한 동작 변경은 다음 Exchange 릴리스에서 적용됩니다.