Microsoft wird nächsten Monat Basic Auth für Exchange Online deaktivieren … aber nicht ganz

Vor fast drei Jahren gab Microsoft bekannt, dass die Standardauthentifizierung aus Exchange Online entfernt und auf die moderne Authentifizierung (OAuth 2.0) umgestellt wird. Seitdem veröffentlicht das Unternehmen regelmäßig Mahnungen, in denen die Kunden aufgefordert werden, so schnell wie möglich umzuziehen. Tatsächlich hat sogar Google eine Empfehlung veröffentlicht, dass Kunden, die Calendar Interop verwenden, um Meetings zwischen Google Calendar und Exchange Online zu synchronisieren, auf Modern Authentication upgraden sollten.

Microsoft hat heute einen weiteren Newsletter veröffentlicht , in dem Kunden gewarnt werden, dass die Standardauthentifizierung ab dem 1. Oktober deaktiviert wird … mit einigen Änderungen.

Der Prozess der Obsoleszenz ist jedoch interessant, weil er allmählich erfolgt. Ab dem 1. Oktober beginnt Microsoft mit der zufälligen Auswahl von Mandanten und deaktiviert dann den Standardauthentifizierungszugriff für MAPI, RPC, Offline-Adressbuch (OAB), Exchange Web Services (EWS), POP, IMAP, Exchange ActiveSync (EAS) und Remote-Powershell. Es ist wichtig zu beachten, dass das Protokoll für SMTP AUTH nicht deaktiviert wird.

Betroffene Mieter werden sieben Tage vor der Änderung und zusätzlich am Tag der Änderung informiert. Microsoft hat festgestellt, dass die Nutzung der Basisauthentifizierung trotz zahlreicher Warnungen immer noch nicht 0 % beträgt. Das Unternehmen gibt an, dass:

Wir erkennen an, dass viele Mieter leider noch nicht bereit für diese Änderungen sind. Trotz zahlreicher Blog-Posts, Message Center-Posts, Serviceausfällen und Berichten in Tweets, Videos, Konferenzpräsentationen und mehr sind sich einige Kunden der bevorstehenden Änderungen immer noch nicht bewusst. Es gibt auch viele terminbewusste Kunden, die einfach nicht die notwendige Arbeit geleistet haben, um Ausfallzeiten zu vermeiden.

Unser Ziel bei diesen Bemühungen war es immer, Ihre Daten und Konten vor der wachsenden Zahl von Angriffen zu schützen, die wir mit der Basisauthentifizierung sehen.

Wir verstehen jedoch, dass E-Mail für viele unserer Kunden ein geschäftskritischer Dienst ist, und die Deaktivierung der Basisauthentifizierung für viele von ihnen möglicherweise sehr wichtige Auswirkungen haben könnte.

Allerdings gibt es einen Haken. Clients, die für diese Konfigurationsänderung noch nicht bereit sind, können die Basisauthentifizierung einmal pro Protokoll erneut aktivieren. Dies kann mit einem Self-Service-Tool erfolgen, und die wieder aktivierten grundlegenden Authentifizierungsprotokolle werden bis Ende Dezember 2022 weiter funktionieren. Ab der ersten Woche des nächsten Jahres wird Microsoft die Basisauthentifizierung dauerhaft deaktivieren.

In gewisser Weise ist dies eher eine „weiche“ als eine „harte“ Obsoleszenz, zumindest im Oktober. Dezember wird jedoch definitiv der Tag sein, an dem Basic Auth für die meisten Protokolle in Exchange Online stirbt, vorausgesetzt, Microsoft bleibt diesmal seinem Wort treu.

Microsoft hat auch darauf hingewiesen, dass:

Wir fügen Microsoft 365 eine neue Funktion hinzu, um unseren Kunden dabei zu helfen, die mit der Standardauthentifizierung verbundenen Risiken zu vermeiden. Dieses neue Feature ändert das Standardverhalten von Office-Anwendungen dahingehend, dass Anmeldeanforderungen mithilfe der Standardauthentifizierung blockiert werden. Wenn Benutzer mit dieser Änderung versuchen, Office-Dateien auf Servern zu öffnen, die nur die Standardauthentifizierung verwenden, werden ihnen keine Eingabeaufforderungen zur Anmeldung mit der Standardauthentifizierung angezeigt. Stattdessen wird ihnen eine Meldung angezeigt, dass die Datei gesperrt ist, da sie eine Anmeldemethode verwendet, die möglicherweise nicht sicher ist.

Wenn Sie ein IT-Administrator sind, der von der Verwendung von Basic Auth besessen ist, sollten Sie sich den Microsoft-Leitfaden hier ansehen .