Включение поддержки содержимого, зашифрованного AES256-CBC, в Exchange Server августа 2023 г.

Включите поддержку режима шифрования AES256-CBC в Exchange Server 

SU за август 2023 г. для Exchange Server поддерживает расшифровку зашифрованных сообщений электронной почты и вложений в AES256-CBC. Чтобы включить эту поддержку, выполните следующие действия. 

1. Установите su за август 2023 г. на всех серверах Exchange 2019 и 2016.

2. Выполните следующие командлеты на всех серверах Exchange 2019 и 2016.

   Примечание: Выполните шаг 2 на всех серверах Exchange 2019 и 2016 в вашей среде, прежде чем перейти к шагу 3.

   $acl = Get-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" 

   $rule = New-Object System.Security.AccessControl.RegistryAccessRule((New-Object System.Security.Principal.SecurityIdentifier("S-1-5-20")), 983103, 3, 0, 0)

   $acl.SetAccessRule($rule) 

   Set-Acl -Path "HKLM:\SOFTWARE\Microsoft\MSIPC\Server" -AclObject $acl 

   Примечание: Раздел -AclObject $acl добавляется в реестр во время установки августовского su. 

3. Если вы используете AzRMS, соединитель AzRMS необходимо обновить на всех серверах Exchange. Запустите обновленный скрипт GenConnectorConfig.ps1 , чтобы создать разделы реестра, которые появились для поддержки режима AES256-CBC в Exchange Server августа 2023 г. su и более поздних версий Exchange. Скачайте последнюю версию скрипта GenConnectorConfig.ps1 из Центра загрузки Майкрософт.

   Дополнительные сведения о настройке серверов Exchange для использования соединителя см. в разделе Настройка серверов для соединителя Microsoft Rights Management.В этой статье рассматриваются изменения конфигурации для Exchange Server 2019 г. и Exchange Server 2016 г. 
   
   Дополнительные сведения о настройке серверов для соединителя Rights Management, включая запуск и развертывание параметров, см. в разделе Параметры реестра для соединителя Rights Management.

4. Если у вас установлен su за август 2023 г., поддерживается только расшифровка сообщений электронной почты и вложений, зашифрованных CBC AES-256, в Exchange Server. Чтобы включить эту поддержку, выполните следующее переопределение параметра:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack”
   
   В дополнение к изменениям, которые были внесены в su за август 2023 г., su за октябрь 2023 г. добавляет поддержку шифрования сообщений электронной почты и вложений в режиме AES256-CBC. Если у вас установлен su за октябрь 2023 г., выполните следующие переопределения параметров:
   
   New-SettingOverride –Name “EnableMSIPC” -Component Encryption –Section UseMSIPC –Parameters @(“Enabled=true”) -Reason “Enabling MSIPC stack” 
   
   New-SettingOverride -Name "EnableEncryptionAlgorithmCBC" -Parameters @("Enabled=True") -Component Encryption -Reason "Enable CBC encryption" -Section EnableEncryptionAlgorithmCBC  

5. Обновите аргумент VariantConfiguration. Для этого выполните следующий командлет:
   
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

6. Чтобы применить новые параметры, перезапустите службу публикации в Интернете и службу активации процессов Windows (WAS). Для этого выполните следующий командлет:
   
   Restart-Service -Name W3SVC, WAS -Force

Если у вас есть гибридное развертывание Exchange (почтовые ящики как в локальной среде, так и в Exchange Online) 

Организации, использующие Exchange Server вместе с соединителем службы Azure Rights Management (Azure RMS), будут автоматически отказаться от обновления режима AES256-CBC в Exchange Online по крайней мере до января 2024 г. Однако если вы хотите использовать более безопасный режим AES-256 CBC для шифрования сообщений электронной почты и вложений в Exchange Online и расшифровки таких сообщений электронной почты и вложений в Exchange Server, выполните следующие действия, чтобы внести необходимые изменения в развертывание Exchange Server.  

После выполнения необходимых действий откройте обращение в службу поддержки, а затем запросите обновление параметра Exchange Online, чтобы включить режим AES256-CBC.  

Если вы используете Приложения Microsoft 365 с Exchange Server 

По умолчанию все приложения M365, такие как Microsoft Outlook, Microsoft Word, Microsoft Excel и Microsoft PowerPoint, будут использовать шифрование в режиме AES256-CBC, начиная с августа 2023 г. 

В следующем разделе описывается принудительное применение AES128-ECB для пользователей, использующих параметры реестра и групповая политика.

Вы можете настроить Office и Приложения Microsoft 365 для Windows режим ECB или CBC с помощью параметра Режим шифрования для управления правами на доступ к данным (IRM) в разделеConfiguration/Administrative Templates/Microsoft Office 2016/Security Settings. По умолчанию режим CBC используется начиная с версии 16.0.16327 Приложения Microsoft 365. 

Например, чтобы принудительно использовать режим CBC для клиентов Windows, задайте параметр групповая политика следующим образом: 

Encryption mode for Information Rights Management (IRM): [2, Electronic Codebook (ECB)]

Сведения о настройке параметров для клиентов Office для Mac см. в статье Настройка параметров для Office для Mac.

Дополнительные сведения см. в разделе "Поддержка AES256-CBC для Microsoft 365" статьи Технические справочные сведения о шифровании.