Microsoft deshabilitará la autenticación básica en Exchange Online en octubre de 2022

Microsoft ha anunciado que la autenticación básica estará deshabilitada para todos los protocolos en todos los inquilinos a partir del 1 de octubre de 2022, para proteger a millones de usuarios de Exchange Online.

Este anuncio se produce después de que la compañía pospusiera la eliminación de la autenticación básica de Exchange Online hasta la segunda mitad de 2021 debido a la pandemia de COVID-19.

"Hoy anunciamos que, a partir del 1 de octubre de 2022, comenzaremos a deshabilitar permanentemente la autenticación básica en todos los inquilinos, independientemente del uso (con la excepción de la autenticación SMTP, que aún se puede volver a habilitar más adelante), dijo el equipo de Exchange Online. a principios de esta semana.

Microsoft ya comenzó a deshabilitar la autenticación básica en junio para los inquilinos que no la usaban, y también explicó cómo los clientes podían volver a habilitar inadvertidamente los protocolos afectados.

Para deshabilitar la autenticación básica en Exchange Online antes de que Microsoft la deshabilite por completo, debe crear y asignar políticas de autenticación a usuarios individuales mediante los pasos descritos en el sitio web de soporte en línea de Exchange.

"Deshabilitar la autenticación básica y requerir una autenticación moderna con MFA es una de las mejores cosas que puede hacer para mejorar la seguridad de los datos en su inquilino, y eso tiene que ser algo bueno", dijo Microsoft hace dos años cuando reveló que la autenticación se aplicará entre los inquilinos de Exchange Online.

"Lo último que hay que aclarar: este cambio afecta únicamente a Exchange Online, no cambiaremos nada en los productos de Exchange Server locales".

¿Por qué está deshabilitada la autenticación básica?

Si bien Microsoft no ha dado la razón exacta por la que decidió hacer este anuncio esta semana, es probable que la causa sea un informe de Guardicore que reveló que se filtraron cientos de miles de credenciales de dominio de Windows de clientes de correo electrónico configurados para usar incorrectamente la autenticación básica.

Amit Serper, AVP de Investigación de Seguridad de Guardicore y autor del informe, también reveló un ataque llamado "The Old Switcheroo" que obliga a un cliente de Exchange a negociar la autenticación básica.

Por favor. pic.twitter.com/9JwhCfa8IF

- Amit Serper (@ 0xAmit) 24 de septiembre de 2021

La autenticación básica (también conocida como autenticación de proxy) es un esquema de autenticación basado en HTTP a través del cual las aplicaciones envían credenciales con cada solicitud de conexión realizada a servidores, puntos finales o servicios en línea, con pares de nombre de usuario / contraseña que a menudo se almacenan localmente en el dispositivo.

Si bien simplifica enormemente el proceso de autenticación, la autenticación básica también facilita a los atacantes el robo de credenciales cuando las conexiones no están seguras mediante el protocolo criptográfico Transport Layer Security (TLS).

Para empeorar las cosas, habilitar la autenticación multifactor (MFA) no es fácil cuando se usa la autenticación básica; por lo tanto, a menudo no se usa en absoluto.

La autenticación moderna (Active Directory Authentication Library (ADAL) y OAuth 2.0 Token-Based Authentication) permite que las aplicaciones utilicen tokens de acceso OAuth con una vida útil limitada y no se pueden reutilizar para autenticarse en otros recursos además de aquellos para los que fueron emitidos.

Una vez habilitada la autenticación moderna, habilitar y aplicar la autenticación multifactor será más fácil, con una mayor seguridad de los datos en Exchange Online como resultado directo e inmediato.

Un video de demostración sobre cómo agregar MFA a Exchange Online / buzones de correo locales está disponible en la cuenta de YouTube de Microsoft Ignite.