Ativar o suporte para conteúdo encriptado pela CBC AES256 no Exchange Server SU de agosto de 2023

Ativar o suporte para o modo de encriptação AES256-CBC no Exchange Server 

A SU de agosto de 2023 para Exchange Server suporta a desencriptação de mensagens de e-mail encriptadas no modo AES256-CBC e anexos. Para ativar este suporte, siga estes passos: 

1. Instale a SU de agosto de 2023 em todos os servidores do Exchange 2019 e 2016.

2. Execute os seguintes cmdlets em todos os servidores do Exchange 2019 e 2016.

   Nota: Conclua o passo 2 em todos os servidores do Exchange 2019 e 2016 no seu ambiente antes de continuar para o passo 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Nota: A chave de $acl -AclObject é adicionada ao registo durante a instalação da SU de agosto. 

3. Se estiver a utilizar o AzRMS, o Conector AzRMS tem de ser atualizado em todos os servidores do Exchange. Execute o script de GenConnectorConfig.ps1 atualizado para gerar as chaves de registo que são introduzidas para o suporte do modo AES256-CBC na SU de Exchange Server agosto de 2023 e versões posteriores do Exchange. Transfira o script de GenConnectorConfig.ps1 mais recente a partir do Centro de Transferências da Microsoft.

   Para obter mais informações sobre como configurar servidores exchange para utilizar o conector, consulte Configurar servidores para o conector Microsoft Rights Management.O artigo aborda alterações de configuração específicas para Exchange Server 2019 e Exchange Server 2016. 
   
   Para obter mais informações sobre como configurar servidores para o conector Rights Management, incluindo como executá-lo e como implementar as definições, consulte Definições de registo para o Conector Rights Management.

4. Se tiver a SU de agosto de 2023 instalada, existe suporte apenas para desencriptar mensagens de e-mail e anexos encriptados pela CBC AES-256 no Exchange Server. Para ativar este suporte, execute a seguinte substituição de definição:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   Além das alterações efetuadas na SU de agosto de 2023, a SU de outubro de 2023 adiciona suporte para encriptar mensagens de e-mail e anexos no modo AES256-CBC. Se tiver a SU de outubro de 2023 instalada, execute as seguintes substituições de definição:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Atualize o argumento VariantConfiguration. Para tal, execute o seguinte cmdlet:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Para aplicar as novas definições, reinicie o serviço World Wide Web Publishing e o Serviço de Ativação de Processos do Windows (WAS). Para tal, execute o seguinte cmdlet:
   
   Restart-Service -Name W3SVC, WAS -Force

Se tiver a implementação híbrida do Exchange (caixas de correio no local e Exchange Online) 

As organizações que utilizam Exchange Server em conjunto com o Conector do Serviço Azure Rights Management (Azure RMS) serão automaticamente desativadas da atualização do modo AES256-CBC no Exchange Online até, pelo menos, janeiro de 2024. No entanto, se quiser utilizar o modo AES-256 CBC mais seguro para encriptar mensagens de e-mail e anexos no Exchange Online e desencriptar essas mensagens de e-mail e anexos no Exchange Server, conclua estes passos para efetuar as alterações necessárias à implementação do Exchange Server.  

Depois de concluir os passos necessários, abra um pedido de suporte e, em seguida, peça que a definição Exchange Online seja atualizada para ativar o modo AES256-CBC.  

Se estiver a utilizar Microsoft 365 Apps com Exchange Server 

Por predefinição, todas as suas aplicações M365, como o Microsoft Outlook, Microsoft Word, Microsoft Excel e Microsoft PowerPoint, utilizarão a encriptação do modo AES256-CBC a partir de agosto de 2023. 

A secção seguinte descreve como forçar a AES128-ECB para os utilizadores que utilizam definições de registo e Política de Grupo.

Pode configurar o Office e o Microsoft 365 Apps para o Windows utilizarem o modo BCE ou CBC através da definição Modo de encriptação para Gestão de Direitos de Informação (IRM) emConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. Por predefinição, o modo CBC é utilizado a partir da versão 16.0.16327 do Microsoft 365 Apps. 

Por exemplo, para forçar o modo CBC para clientes Windows, defina a definição de Política de Grupo da seguinte forma: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Para configurar definições para clientes Office para Mac, veja Definir preferências em todo o conjunto de aplicações para Office para Mac.

Para obter mais informações, consulte a secção "Suporte AES256-CBC para o Microsoft 365" de Detalhes de referência técnica sobre encriptação.