„Exchange“ žiniatinklio tarnyba Push pranešimai gali būti naudojami neteisėtai prieigai gauti

Taikoma
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenarijus

Apsvarstykite šį scenarijų:

  • Naudojate "Exchange Server".
  • Įgalinote "„Exchange“ žiniatinklio tarnyba" (EWS).
  • "Push" pranešimai yra įgalinti ir naudojami jūsų aplinkoje.

Priežastis

Kai klientas užsiprenumeruoja "Push" pranešimus iš "Exchange Server", klientui siunčiamuose pranešimuose yra NTLM informacijos, kuri gali būti naudojama autentifikuojant kaip serverį, kuriame veikia "Exchange Server". Ši informacija anksčiau buvo įtraukta, kad prenumeruotiems klientams būtų galima pateikti autentifikuotą atsakymą. Tai paveiks tik "Push" pranešimus. Traukimo ir srautinio perdavimo pranešimai nepaveikiami.

Sprendimo būdas

Norėdami apeiti šį scenarijų ir užkirsti kelią netinkamam informacijos naudojimui, apibrėžkite ribojimo strategiją, kuri neleidžia EWS pranešimams siųsti užsiprenumeravusiems klientams. Nors šis veikimas taikomas tik "Push" pranešimams, ribojimo strategija vienodai veikia "Push", "Pull" ir srautinio perdavimo pranešimus.

Atkreipkite dėmesį Dėl šio sprendimo būdo kai kurie klientai veikia netinkamai. Tai apima "Outlook for Mac", "„Skype“ verslui", vietines "iOS" pašto programas ir kai kuriuos kitus trečiųjų šalių klientus. Ji taip pat gali apimti pasirinktines LOB programas.

Sprendimas

"„Microsoft“" pakeitė pranešimų sutartį, sudarytą tarp EWS klientų ir serverių, kuriuose veikia "Exchange Server", kad serveris neleistų transliuoti autentifikuotų pranešimų. Vietoj to, šie pranešimai yra transliuojami naudojant anoniminio autentifikavimo mechanizmus. Kadangi klientas turėtų autentifikuoti, kad galėtų nustatyti prenumeratą, šis būdas laikomas tinkamu ir būtinu pagrindu serverio kredencialams ir tapatybei apsaugoti. Po šio pakeitimo klientams, kurie naudoja autentifikuotą EWS tiesioginį pranešimą iš serverio, kuriame veikia "Exchange Server", reikės kliento naujinimo, kad jie ir toliau tinkamai veiktų.

Šis veikimo pokytis įsigalioja šiuose "Exchange" leidimuose: