Autenticación básica en Office 365 Parte I
| Update. Microsoft has changed their plans due to the Covid-19 crisis going on at the moment. Support for Basic Authentication in Exchange Online has been postponed to the second half of 2021 according to their blogpost on Basic Authentication and Exchange Online - April 2020 Update.
There are a few things to be aware of. For new tenants, Basic Authentication is already turned off, for older tenants it is still turned on. However, if Basic Authentication has not been used in a tenant it will be turned off as well. This will start upcoming October. |
Microsoft dejará de admitir la autenticación básica en octubre de 2020, como se describe en la siguiente publicación de blog: Autenticación básica y Exchange Online: actualización de febrero de 2020. Al hacer esto, Microsoft aumenta la seguridad en (especialmente) Exchange Online, ya que la autenticación básica es un vector de ataque perfecto para usuarios malintencionados.
Pero, ¿qué significa? Los clientes que utilicen Exchange Web Services (EWS), ActiveSync, PowerShell, POP3 e IMAP4 y se autentiquen mediante autenticación básica dejarán de funcionar. ¿De qué clientes estamos hablando? La autenticación básica solo se detiene para Exchange Online y no para Exchange local, pero ¿qué sucede cuando se utiliza un escenario híbrido? Del uso de Outlook para iOS en combinación con un buzón local.
En esta publicación de blog intentaré profundizar un poco más en la autenticación y explicar lo que sucederá.
Autenticación básica
La autenticación básica es una de las formas más antiguas de autenticación en cualquier aplicación web. Usted accede a una aplicación, se presenta un cuadro de diálogo, ingresa sus credenciales y las credenciales se envían (en texto claro) a través del cable. Para mejorar la seguridad, normalmente se utiliza una conexión SSL, por lo que la conexión entre el cliente y el servidor está cifrada.
Para Exchange Online, esto significa que el cliente (Outlook) envía sus credenciales en texto sin cifrar a Exchange Online y Exchange Online se autentica en Azure AD, como se muestra en la siguiente captura de pantalla:
Cuando se utiliza ADFS, la autenticación básica no es muy diferente. El cliente autentica y envía las credenciales en texto sin cifrar a Exchange Online, y Exchange Online se encarga de la comunicación restante mediante ADFS y los controladores de dominio locales (pasos 2 y 3 en la siguiente captura de pantalla):
Es importante tener en cuenta que el cliente aquí todavía utiliza autenticación básica.
Entonces, ¿qué clientes utilizan la autenticación básica? Outlook 2010 es el más común, pero también muchos clientes ActiveSync, clientes POP3 e IMAP4, PowerShell y Exchange Web Services (scripts y herramientas) todavía usan autenticación básica.
¡Dejo a su imaginación lo que sucederá cuando Microsoft deje de admitir la autenticación básica (paso 1 en las capturas de pantalla anteriores) este octubre!
Autenticación moderna
La autenticación moderna es un mecanismo de autenticación basado en tokens y, como tal, tiene similitudes con los servicios de federación. En IT Dev Connections 2017 en San Francisco hice una presentación sobre este tema. La siguiente captura de pantalla es una diapositiva animada de la presentación que muestra el flujo de autenticación entre un cliente, Exchange Online, Azure AD y el controlador de dominio local:
La autenticación moderna se basa en el marco OAuth2. Al utilizar OAuth2, otorga permisos a una aplicación ("consentimiento") para que se comunique con el servidor en su nombre. El cliente contacta al servidor la primera vez y usted ingresa sus credenciales en un marco web, este es un marco web basado en servidor y cuando se ingresan las credenciales se generan dos tokens:
- Token de acceso, que se utiliza para acceder a diversos servicios.
- Token de actualización, que se utiliza para renovar el token de acceso cuando está a punto de caducar.
Esto se muestra en la siguiente imagen:
Fuente: Autorizar el acceso a aplicaciones web de Azure Active Directory mediante el flujo de concesión de código OAuth 2.0.
El token de acceso se renueva constantemente (y por lo tanto no es necesario volver a autenticarse manualmente) hasta que no se puede renovar, por ejemplo, cuando la contraseña caduca, la cuenta se bloquea (el token de acceso se revoca) o cuando una política de acceso condicional ya no puede se aplicado. En todos estos escenarios se deniega el acceso al servicio.
Outlook 2013 y versiones posteriores admiten la autenticación moderna. En Outlook 2013 tenías que configurar algunas claves de registro, pero en Outlook 2016 y versiones posteriores está habilitado de forma predeterminada.
La forma de identificar si está utilizando la autenticación moderna es la pantalla de inicio de sesión basada en HTML que se ve así:
Mientras que la autenticación básica (en Exchange 2016, pero similar en Outlook 2010) es la siguiente:
Otra forma de identificar la autenticación moderna es utilizar el estado de la conexión en Outlook:
Cuando ve "Portador" (procedente del token de portador de OAuth), Outlook está usando autenticación moderna, si ve "Borrar", Outlook utiliza la autenticación básica.
Resumen
En esta primera parte he intentado explicar la diferencia entre la autenticación básica y la autenticación moderna, cómo funciona la autenticación moderna y cómo identificar qué método de autenticación está utilizando su cliente Outlook.
En mi próximo blog (Parte II) explicaré más sobre cómo monitorear la autenticación básica y cómo comenzar a probar lo que sucede al deshabilitar la autenticación básica.