Desuso de la autenticación básica - Informe de autenticación básica de Office 365

Recientemente, Microsoft anunció una actualización importante: “Retiro de autenticación básica para protocolos heredados en Exchange Online. ”

Actualización de septiembre de 2021: Microsoft ha reanudado el programa de retirada de autenticación básica

Hoy, Microsoft anunció que está reiniciando el programa para finalizar el uso de autenticación básica en Exchange Online. A partir del 1 de octubre de 2022, Microsoft comenzará a deshabilitar la autenticación básica en todos los inquilinos, independientemente del uso (con la excepción de la autenticación SMTP, que aún se puede volver a habilitar después de eso).

En resumen, no más autenticación básica para los siguientes protocolos para acceder a Exchange Online.

• EWS (servicios web de intercambio)
• EAS (Exchange ActiveSync)
• IMAP4
• POP3
• RPS (PowerShell remoto)

Este blog le ayudará a comprender qué es la autenticación básica, la autenticación básica frente a la autenticación moderna, cómo afectará a la organización la desuso de la autenticación básica, etc. Principalmente, se centra en los siguientes aspectos.

1. Desuso de la autenticación básica: cómo prepararse para este cambio
2. Descargar el informe de autenticación básica de Office 365

Autenticación básica en Exchange Online:

Microsoft ha planeado finalizar la autenticación básica en Exchange Online a partir del 1 de octubre de 2022.

La mayoría de las aplicaciones cliente utilizan la autenticación básica para conectarse a servidores, servicios y puntos finales, ya que es fácil de configurar. La autenticación básica en Exchange Online envía un nombre de usuario y una contraseña con cada solicitud de acceso del cliente.

El problema con la autenticación básica es que se compromete fácilmente mediante ataques de fuerza bruta o de pulverización de contraseñas. Para proteger nuestro entorno de una amenaza a la seguridad, debemos pasar a una mejor opción.

No más autenticación básica en Exchange Online. ¿Cómo me afecta esto?

A partir del 1 de octubre de 2022, las aplicaciones cliente que utilicen cualquiera de los protocolos antiguos mencionados anteriormente no podrán conectarse a Exchange Online mediante la autenticación básica.

A principios de 2022, Microsoft implementará los cambios para admitir la desactivación de la autenticación básica. Como resultado, Microsoft seleccionará inquilinos y deshabilitará la autenticación básica para todos los protocolos afectados excepto SMTP AUTH durante 12 a 48 horas. Durante este tiempo, todos los clientes y aplicaciones que utilicen autenticación básica en ese inquilino se verán afectados y no podrán conectarse. Los administradores de inquilinos pueden volver a habilitar manualmente la autenticación básica mediante la herramienta de autoservicio. De lo contrario, esos protocolos se volverán a habilitar automáticamente después del período específico.

Manténgase informado sobre los próximos cambios de Microsoft 365 y los hitos del fin del soporte.

Alternativa a la autenticación básica: cambie a la autenticación moderna:

La mejor solución es pasar al enfoque de autenticación moderna. La autenticación moderna se basa en la Biblioteca de autenticación de Active Directory (ADAL) y los tokens OAuth 2.0.

La autenticación moderna (que es la autenticación basada en token OAuth 2.0) tiene muchos beneficios que ayudan a superar los problemas presentes en la autenticación básica. Los tokens OAuth tienen una vida útil limitada y son específicos de las aplicaciones para las que se emiten. Por tanto, no se pueden reutilizar. La autenticación moderna de Exchange Online garantiza una forma más segura y confiable que la autenticación básica.

¿Qué necesito hacer para prepararme para este cambio?

Hay varias acciones que usted y sus usuarios pueden tomar para evitar interrupciones del servicio en las aplicaciones cliente y las describimos a continuación.

• Puede comenzar a actualizar las aplicaciones cliente que utilizan sus usuarios a versiones compatibles con OAuth 2.0.
• Si ha escrito su propio código utilizando protocolos con autenticación básica, deberá actualizar su código para usar OAuth 2.0.
• Si está utilizando una aplicación de terceros, debe comunicarse con un desarrollador de aplicaciones de terceros para actualizar la aplicación para que sea compatible con OAuth 2.0 o cambiar a una aplicación que admita Oauth 2.0.
• RPS: Conéctese a Exchange Online PowerShell sin autenticación básica: ¿es usted un administrador de inquilinos que dedica más tiempo a PowerShell remoto para acceder a Exchange Online? Puede utilizar el módulo Exchange Online PowerShell V2, que admite la autenticación moderna.
• Script desatendido: para conectar Exchange Online con autenticación desatendida, puede utilizar el módulo EXO V2 (versión preliminar 2.0.3 o posterior).
• Exchange ActiveSync: si su organización todavía usa Exchange ActiveSync, puede usar clientes de Outlook Mobile para conectarse con Exchange Online.
• IMAP/POP: Microsoft planea agregar soporte OAuth tanto a IMAP como a POP en unos meses. Si desea seguir usando estos protocolos, deberá actualizar la aplicación a uno que admita Modern Auth.

Nota:

• Este cambio no afecta la autenticación SMTP: Microsoft continúa admitiendo la autenticación básica por el momento.
• Este cambio no afecta a los productos locales de Exchange Server.

Cómo descubrir conexiones de autenticación básica: informe de autenticación básica de Office 365

Como administrador de inquilinos, probablemente tenga la pregunta: ¿Cómo sé quién utiliza la autenticación básica en mi inquilino? Microsoft ha respondido a su pregunta. Sí, Microsoft ha actualizado el informe de inicio de sesión de Azure AD para incluir listas de usuarios y aplicaciones cliente que usan autenticación básica para conectarse a Exchange Online.

Exportar informe de autenticación básica de Office 365:

El informe de inicio de sesión de Azure mejorado le ayuda a obtener una lista de usuarios que usan autenticación heredada para conectarse a Exchange Online. Siga los pasos a continuación para generar el informe de autenticación heredado de Office 365.

Paso 1: vaya al informe de inicio de sesión de Azure en el portal de Microsoft Azure. El informe de inicio de sesión muestra la actividad de inicio de sesión en el inquilino, la fecha, la hora, la dirección IP del usuario y la ubicación de inicio de sesión.

Paso 2: agregue la columna 'Aplicación cliente' al informe (la aplicación cliente no se muestra de forma predeterminada). La columna 'Aplicación cliente' le mostrará los protocolos utilizados por el usuario para conectarse a Office 365.

Paso 3: para ver el informe de autenticación básica de O365, haga clic en "Agregar filtros" y luego seleccione "Aplicación cliente". Aplicar los cambios. Ahora seleccione el filtro 'Aplicación cliente' para elegir autenticaciones heredadas como Exchange Active sync, Exchange Online PowerShell, IMAP4, POP3, etc.

Después de aplicar un filtro, puede ver las conexiones/inicios de sesión que cumplan con sus criterios, es decir, usuarios que utilizan una conexión de autenticación básica.

Nota: Para generar todas las conexiones de autenticación básicas, seleccione todo en la 'Aplicación cliente' excepto el navegador y las aplicaciones móviles y los clientes de escritorio.

Para obtener el panel de detalles, puede hacer clic en cualquiera de las líneas. El panel de detalles contiene información básica, ubicación, información del dispositivo, detalles de autenticación, acceso condicional, etc.

El informe de autenticación básico se puede descargar como un archivo CSV o JSON. Puede utilizar este informe de autenticación básica de Exchange Online para encontrar usuarios que usan autenticación básica para conectarse a Exchange Online y tomar las medidas necesarias para adoptar una autenticación moderna.

Desuso de la autenticación básica: historial de actualizaciones:

• Actualización de febrero de 2020: Microsoft actualizó el informe de inicio de sesión de Azure AD para incluir listas de usuarios y aplicaciones cliente que usan autenticación básica para conectarse a Exchange Online.

Nota: Para acceder al informe de inicio de sesión de Azure, debe tener una licencia Premium de Azure AD. ¡Puedo oírte gritar! No te preocupes. Microsoft planea hacer que este informe esté disponible para todos. Podemos esperar la actualización pronto.

• Actualización del 12 de marzo de 2020: el informe de inicio de sesión de Azure ahora está disponible para todos.
• Actualización de abril de 2020: Microsoft pospuso la desactivación de la autenticación básica en Exchange Online hasta 2021

Debido a la crisis de COVID-19, Microsoft pospuso la desactivación de la autenticación básica en Exchange Online hasta la segunda mitad de 2021 para los inquilinos que utilizan autenticación básica.

Para los inquilinos recién creados, la autenticación básica está deshabilitada de forma predeterminada y la autenticación básica se deshabilitará si el inquilino no tiene un uso registrado desde octubre de 2020. Dado que Microsoft quiere mejorar la seguridad, continuará implementando compatibilidad con OAuth para POP, IMAP y SMTP. Autenticación y PowerShell remoto.

• Septiembre de 2021: Microsoft retira la autenticación básica en Exchange Online a partir de octubre de 2022.

Conclusión:

Cambiar de la autenticación básica a la autenticación moderna causará algunas interrupciones y es más desafiante. Pero juntos debemos planificar este cambio para proteger nuestros datos.

¿Estás listo para el cambio? ¿Qué método vas a implementar en tu organización? Comparta su experiencia/dificultades durante la adopción de la autenticación moderna en la sección de comentarios para ayudar a otros administradores.