Включение поддержки содержимого, зашифрованного с помощью алгоритма AES256-CBC, в Exchange Server Август 2023 г. SU

Начиная с обновления системы безопасности Microsoft Exchange Server за август 2023 г. AES256 в режиме цепочки блоков шифра (AES256-CBC) будет режимом шифрования по умолчанию во всех приложениях, использующих Защиту информации Microsoft Purview. Подробнее см. в статье Изменения алгоритмов шифрования в Защита информации Microsoft Purview.

Если вы используете Exchange Server с гибридным развертыванием Exchange или Приложения Microsoft 365, этот документ поможет вам подготовиться к изменениям без сбоев.

Изменения, внесенные в обновлении для системы безопасности (SU) за август 2023 г., помогают расшифровывать сообщения электронной почты и вложения в зашифрованные с помощью AES256-CBC. Поддержка шифрования сообщений электронной почты в режиме AES256-CBC была добавлена в октябре 2023 SU.

Реализация изменения режима AES256-CBC в Exchange Server

Если вы используете функции управления правами на доступ к данным (IRM) в Exchange Server вместе со службами Active Directory Rights Management Services (AD RMS) или Azure RMS (AzRMS), вам необходимо обновить Exchange Server 2019 и Exchange Server 2016 серверов для системы безопасности за август 2023 г. и выполните дополнительные действия, описанные в следующих разделах, до конца августа 2023 г. Функция поиска и ведения журнала будет затронута, если вы не обновите серверы Exchange до SU за август 2023 г. до конца августа.

Если вашей организации требуется дополнительное время для обновления серверов Exchange, прочтите остальную часть статьи, чтобы понять, как смягчить последствия изменений.

Включение поддержки режима шифрования AES256-CBC в Exchange Server

Августовский накопительный пакет обновления 2023 г. для Exchange Server поддерживает расшифровку сообщений электронной почты и вложений, зашифрованных в режиме AES256-CBC. Чтобы включить эту поддержку, выполните следующие действия:

1. Установите SU за август 2023 г. на всех серверах Exchange 2019 и 2016.

2. Выполните следующие командлеты на всех серверах Exchange 2019 и 2016.

   Примечание

   Выполните шаг 2 на всех серверах Exchange 2019 и 2016 в вашей среде, прежде чем переходить к шагу 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 
$rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)
$acl.SetAccessRule($rule) 
Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Примечание

   Раздел -AclObject $acl добавляется в реестр во время установки августовского SU.

3. Если вы используете AzRMS, соединитель AzRMS должен быть обновлен на всех серверах Exchange. Запустите обновленный GenConnectorConfig.ps1 сценарий для создания разделов реестра, которые представлены для поддержки режима AES256-CBC в Exchange Server SU за август 2023 г. и более поздних версиях Exchange. Скачайте последнюю версию GenConnectorConfig.ps1 сценария в Центре загрузки Майкрософт.
   Дополнительные сведения о том, как настроить серверы Exchange для использования соединителя, см. в статье Настройка серверов для соединителя управления правами Майкрософт. В этой статье описаны конкретные изменения конфигурации для Exchange Server 2019 и Exchange Server 2016. 

   Дополнительные сведения о настройке серверов для соединителя Rights Management, в том числе об его запуске и развертывании настроек, см . в разделе Параметры реестра для соединителя Rights Management.

4. Если у вас установлен SU за август 2023 г., в Exchange Server поддерживается только расшифровка сообщений электронной почты и вложений AES-256, зашифрованных CBC. Чтобы включить эту поддержку, запустите следующее переопределение параметра:

   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”

   В дополнение к изменениям, внесенным в августовскую версию SU 2023 г., в октябре 2023 г. SU добавляет поддержку шифрования сообщений электронной почты и вложений в режиме AES256-CBC. Если у вас установлена SU за октябрь 2023 г., запустите следующие переопределения параметров:

   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 

   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC 

   Если у вас установлен SU за ноябрь 2024 г. или более поздняя версия, запустите следующее переопределение параметра:

   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  
    

   Примечание

   MSIPC включен по умолчанию с ноября 2024 года SU или позднее. Дополнительные сведения см. в статье MSIPC включен по умолчанию в Exchange Server 2019 и 2016.

5. Обновите аргумент VariantConfiguration. Для этого запустите следующий командлет:

   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Чтобы применить новые параметры, перезапустите службу публикации во всемирной паутине и службу активации процессов Windows (WAS). Для этого запустите следующий командлет:

   Restart-Service -Name W3SVC, WAS -Force

Если вы используете гибридное развертывание Exchange (почтовые ящики в локальной среде и в Exchange Online)

Организации, использующие Exchange Server вместе с соединителем службы управления правами Azure (Azure RMS), будут автоматически исключены из обновления режима AES256-CBC в Exchange Online как минимум до января 2024 года. Тем не менее, если вы хотите использовать более безопасный режим AES-256 CBC для шифрования сообщений электронной почты и вложений в Exchange Online, а также для расшифровки таких сообщений электронной почты и вложений в Exchange Server, выполните указанные ниже действия для внесения необходимых изменений в развертывание Exchange Server.

Выполнив необходимые действия, откройте обращение в службу поддержки и запросите обновление параметра Exchange Online, чтобы включить режим AES256-CBC.

Если вы используете Приложения Microsoft 365 с Exchange Server

По умолчанию все ваши приложения M365, такие как Microsoft Outlook, Microsoft Word, Microsoft Excel и Microsoft PowerPoint, будут использовать шифрование в режиме AES256-CBC начиная с августа 2023 года.

В следующем разделе описывается, как принудительно применить AES128-ECB для пользователей, использующих параметры реестра и групповую политику.

Вы можете настроить Office и приложения Microsoft 365 для Windows для использования режима ECB или CBC, используя режим шифрования для управления правами на доступ к данным (IRM) в разделе Configuration/Administrative Templates/Microsoft Office 2016/Security Settings. По умолчанию режим CBC используется, начиная с версии 16.0.16327 Приложения Microsoft 365.

Например, чтобы принудительно включить режим CBC для клиентов Windows, настройте параметр групповой политики следующим образом:

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Инструкции по настройке параметров для клиентов Office для Mac см. в статье Настройка параметров набора для Office для Mac.

Дополнительные сведения см. в разделе "Поддержка AES256-CBC для Microsoft 365" в технических сведениях о шифровании.

Известные проблемы

• Пакетная версия за август 2023 г. не устанавливается при попытке обновить серверы Exchange, на которых установлен пакет SDK для управления правами Не рекомендуется устанавливать пакет SDK RMS на том же компьютере, на котором установлен Exchange Server.
• Email доставка и ведение журнала периодически завершаются сбоем, если поддержка режима AES256-CBC включена в Exchange Server 2019 и Exchange Server 2016 в среде, которая сосуществует с Exchange Server 2013. Exchange Server 2013 больше не поддерживается. Поэтому следует обновить все серверы до Exchange Server 2019 или Exchange Server 2016.

Симптомы, если шифрование CBC настроено неправильно или не обновлено

Если TransportDecryptionSetting установлен параметр как обязательный (по умолчанию выбран аргумент "необязательно") и Set-IRMConfigurationсерверы и клиенты Exchange не обновляются, сообщения, зашифрованные с помощью AES256-CBC, могут создавать отчеты о недоставке (NDR) и следующее сообщение об ошибке:

Если серверы не обновляются, это также может вызвать проблемы, влияющие на правила транспорта для шифрования, ведения журналов и обнаружения электронных данных.