Powiadomienia wypychane usług sieci Web programu Exchange mogą służyć do uzyskiwania nieautoryzowanego dostępu

Dotyczy
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Scenariusz

Rozważmy następujący scenariusz:

  • Korzystasz z programu Exchange Server.
  • Usługi sieci Web programu Exchange (EWS) zostały włączone.
  • Powiadomienia wypychane są włączone i używane w danym środowisku.

Przyczyna

Jeśli klient subskrybuje powiadomienia wypychane z programu Exchange Server, powiadomienia wysyłane do klienta zawierają informacje NTLM, które mogą być użyte do uwierzytelnienia jako serwer programu Exchange Server. Te informacje były wcześniej dołączane, aby umożliwić uwierzytelnioną odpowiedź subskrybowanym klientom. Dotyczy to tylko powiadomień push. Nie ma to wpływu na powiadomienia o ściąganiu i przesyłaniu strumieniowym.

Obejście

Aby obejść ten scenariusz i zapobiec niewłaściwemu wykorzystaniu informacji, zdefiniuj zasady ograniczania, które uniemożliwiają wysyłanie powiadomień EWS do subskrybowanych klientów. Mimo że to zachowanie podlega tylko powiadomieniom wypychanym, zasady ograniczania wpływają w równym stopniu na powiadomienia wypychane, ściągane i przesyłane strumieniowo.

Wskazówka To obejście powoduje, że niektórzy klienci nie działają poprawnie. Obejmuje to programy Outlook dla komputerów Mac, Skype dla firm, natywnych klientów poczty systemu iOS i niektórych innych klientów innych firm. Może również zawierać niestandardowe aplikacje LOB.

Rozwiązanie

Firma Microsoft zmieniła umowę dotyczącą powiadomień zawieraną między klientami EWS a serwerami z programem Exchange Server, aby nie zezwalać na przesyłanie uwierzytelnionych powiadomień strumieniowo przez serwer. Zamiast tego te powiadomienia są przesyłane strumieniowo przy użyciu mechanizmów uwierzytelniania anonimowego. W celu ustanowienia subskrypcji klient musiałby przeprowadzić uwierzytelnianie, dlatego takie podejście jest uważane za odpowiednią i konieczną metodę ochrony poświadczeń i tożsamości serwera. Po tej zmianie klienci korzystający z uwierzytelnionych powiadomień wypychanych EWS z serwera, na którym działa program Exchange Server, będą wymagać aktualizacji klienta, aby nadal działać poprawnie.

Ta zmiana zachowania zostanie uwzględniona w następujących wersjach programu Exchange: