Activarea suportului pentru conținutul criptat AES256-CBC în Exchange Server august 2023 SU

Activarea suportului pentru modul de criptare AES256-CBC în Exchange Server 

Su din august 2023 pentru Exchange Server acceptă decriptarea mesajelor de e-mail și atașărilor criptate cu modul AES256-CBC. Pentru a activa această asistență, urmați acești pași: 

1. Instalați su august 2023 pe toate serverele Exchange 2019 și 2016.

2. Rulați următoarele cmdleturi pe toate serverele Exchange 2019 și 2016.

   Notă: Finalizați pasul 2 pe toate serverele Exchange 2019 și 2016 din mediul dvs. înainte de a continua cu pasul 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Notă: Cheia $acl -AclObject este adăugată la registry în timpul instalării SU din august. 

3. Dacă utilizați AzRMS, conectorul AzRMS trebuie actualizat pe toate serverele Exchange. Rulați scriptul de GenConnectorConfig.ps1 actualizat pentru a genera cheile de registry introduse pentru suportul pentru modul AES256-CBC în Exchange Server august 2023 SU și versiunile Exchange mai recente. Descărcați cel mai recent script de GenConnectorConfig.ps1 de la Centrul de descărcare Microsoft.

   Pentru mai multe informații despre configurarea serverelor Exchange pentru a utiliza conectorul, consultați Configurarea serverelor pentru conectorul Microsoft Rights Management.Articolul prezintă modificările specifice ale configurației pentru Exchange Server 2019 și Exchange Server 2016. 
   
   Pentru mai multe informații despre cum să configurați serverele pentru conectorul Rights Management, inclusiv cum să-l rulați și cum să implementați setările, consultați Setările de registry pentru Conectorul Rights Management.

4. Dacă aveți su-ul din august 2023 instalat, există suport doar pentru a decripta mesajele de e-mail și atașările criptate AES-256 CBC în Exchange Server. Pentru a activa acest suport, rulați următoarea înlocuire a setării:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   În plus față de modificările efectuate în su august 2023, SU octombrie 2023 adaugă suport pentru a cripta mesajele de e-mail și atașările în modul AES256-CBC. Dacă aveți su-ul din octombrie 2023 instalat, rulați următoarele înlocuiri ale setărilor:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Reîmprospătați argumentul VariantConfiguration. Pentru a face acest lucru, rulați următorul cmdlet:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Pentru a aplica setările noi, reporniți serviciul De publicare World Wide Web și Serviciul de activare a proceselor Windows (WAS). Pentru a face acest lucru, rulați următorul cmdlet:
   
   Restart-Service -Name W3SVC, WAS -Force

Dacă aveți implementare hibridă Exchange (cutii poștale atât locale, cât și Exchange Online) 

Organizațiile care utilizează Exchange Server împreună cu Azure Rights Management Service Connector (Azure RMS) vor renunța automat la actualizarea modului AES256-CBC în Exchange Online cel puțin până în ianuarie 2024. Totuși, dacă doriți să utilizați modul AES-256 CBC mai sigur pentru a cripta mesajele de e-mail și atașările din Exchange Online și să decriptați astfel de mesaje de e-mail și atașări în Exchange Server, parcurgeți acești pași pentru a efectua modificările necesare la implementarea Exchange Server.  

După ce terminați pașii necesari, deschideți un caz de asistență, apoi solicitați ca setarea de Exchange Online să fie actualizată pentru a activa modul AES256-CBC.  

Dacă utilizați Aplicații Microsoft 365 cu Exchange Server 

În mod implicit, toate aplicațiile M365, cum ar fi Microsoft Outlook, Microsoft Word, Microsoft Excel și Microsoft PowerPoint, vor utiliza criptarea modului AES256-CBC începând din august 2023. 

Următoarea secțiune descrie cum se impune AES128-BCE pentru utilizatorii care utilizează setările de registry și Politică de grup.

Puteți configura Office și Aplicații Microsoft 365 pentru Windows să utilizeze modul BCE sau CBC utilizând setarea Criptare pentru Information Rights Management (IRM) de subConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. În mod implicit, modul CBC este utilizat începând cu versiunea 16.0.16327 de Aplicații Microsoft 365. 

De exemplu, pentru a impune modul CBC pentru clienții Windows, setați setarea Politică de grup după cum urmează: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Pentru a configura setările pentru clienții Office pentru Mac, consultați Setarea preferințelor la nivel de suită pentru Office pentru Mac.

Pentru mai multe informații, consultați secțiunea "Asistență AES256-CBC pentru Microsoft 365" din Detalii de referință tehnice despre criptare.