Thông báo Đẩy Dịch vụ Web Exchange có thể được sử dụng để truy nhập trái phép

Áp dụng cho
Exchange Server 2010 Exchange Server 2013 Exchange Server 2016 Exchange Server 2019

Tình huống

Hãy cân nhắc các trường hợp sau:

  • Bạn đang chạy Exchange Server.
  • Bạn đã bật Dịch vụ Web Exchange (EWS).
  • Thông báo Đẩy được kích hoạt và sử dụng trong môi trường của bạn.

Nguyên nhân

Khi máy khách đăng ký Thông báo Đẩy từ Exchange Server, thông báo được gửi đến máy khách đó bao gồm thông tin NTLM có thể được sử dụng để xác thực là máy chủ đang chạy Exchange Server. Thông tin này trước đây được bao gồm để cho phép phản hồi đã xác thực cho máy khách đã đăng ký. Chỉ Thông báo Đẩy bị ảnh hưởng. Thông báo kéo và phát trực tuyến không bị ảnh hưởng.

Giải pháp thay thế

Để tránh tình huống này và ngăn thông tin bị lạm dụng, hãy xác định chính sách điều chỉnh ngăn không cho gửi Thông báo EWS tới máy khách đã đăng ký. Mặc dù chỉ có Thông báo Đẩy là đối tượng của hành vi này, chính sách điều chỉnh ảnh hưởng đến Thông báo Đẩy, Kéo và Truyền như nhau.

Lưu ý Giải pháp thay thế này khiến một số máy khách không hoạt động đúng cách. Các ứng dụng này bao gồm Outlook for Mac, Skype for Business, máy khách thư iOS gốc và một số ứng dụng khách của bên thứ ba khác. Nó cũng có thể bao gồm các ứng dụng LOB tùy chỉnh.

Giải pháp

Microsoft đã thay đổi hợp đồng thông báo được thiết lập giữa máy khách EWS và máy chủ đang chạy Exchange Server để không cho phép phát trực tuyến thông báo đã xác thực bởi máy chủ. Thay vào đó, các thông báo này được phát trực tuyến bằng cách sử dụng cơ chế xác thực ẩn danh. Vì máy khách sẽ phải xác thực để thiết lập đăng ký nên phương pháp tiếp cận này được coi là thiết kế phù hợp và cần thiết để bảo vệ thông tin xác thực và danh tính của máy chủ. Sau thay đổi này, các máy khách dựa vào Thông báo Đẩy EWS đã được xác thực từ máy chủ đang chạy Exchange Server sẽ yêu cầu cập nhật máy khách để tiếp tục hoạt động đúng cách.

Thay đổi hành vi này sẽ có hiệu lực trong các phiên bản Exchange sau đây: