Microsoft bugün müşterileri, 1 Ekim 2022'den itibaren değişim çevrimiçi güvenliğini artırmak için dünya çapında rastgele kiracılarda temel kimlik doğrulamasını devre dışı bırakacağı konusunda uyardı.
Bugünkü duyuru, şirketin son üç yılda yayınladığı birden fazla hatırlatma ve uyarıyı takip ediyor, ilk olarak Eylül 2019'da yayınlandı.
Şirket, müşterilerin birçoğunun henüz müşterilerini ve uygulamalarını modern kimlik doğrulamaya taşımadığını gördükten sonra Eylül 2021 ve Mayıs 2022'de Basic Auth'u geçmelerini istedi.
"Yaklaşık üç yıl önce ilk duyurumuzdan bu yana, milyonlarca kullanıcının temel auth'dan uzaklaştığını gördük ve onları proaktif olarak korumak için milyonlarca kiracıyı devre dışı bıraktık. Yine de bitmedik ve maalesef kullanım yok Değişim ekibi, `` Henüz sıfırda değil. Buna rağmen, daha önce devre dışı bırakılmayan kiracılar için birkaç protokol için temel kimliği kapatmaya başlayacağız.
"1 Ekim'den itibaren kiracıları rastgele seçmeye ve MAPI, RPC, Çevrimdışı Adres Kitabı (OAB), Exchange Web Hizmetleri (EWS), POP, IMAP, Exchange ActiveSync (EAS) ve Remote PowerShell için temel kimlik doğrulama erişimini devre dışı bırakmaya başlayacağız. "
Redmond, bu hareketin sunum başlamasından yedi gün önce Windows Mesaj Merkezine gönderileceğini açıklayan bir mesajın. Basic Auth devre dışı bırakıldığında her kiracı, Hizmet Sağlığı Gösterge Tablosu bildirimleri aracılığıyla bilgilendirilecektir.
Bu kimlik doğrulama planının devre dışı bırakılacağı kiracılarda, müşteriler Aralık 2022'nin sonuna kadar self servis teşhis kullanarak protokol başına bir kez yeniden etkinleştirebilecekler. Ancak, "temel kimlik dışı kullanım için kalıcı olarak kullanılmak üzere devre dışı bırakılacaktır" Ocak 2023'ün ilk haftasında, yine temel kimliği kullanmanın yolu olmadan.
Microsoft, şimdiye kadar, onu kullanmayan milyonlarca kiracıya Basic Auth'u devre dışı bıraktığını ve aynı zamanda kiracılar içindeki kullanılmayan protokolleri hala bu güvensiz kimlik planından yararlanan saldırılardan korumak için kullandığını söylüyor.
"Bu çaba, ilk iletişimden şimdiye kadar üç yıl sürdü ve bu bile tüm müşterilerin bu değişikliği bilmesini ve gerekli tüm adımları atmasını sağlamak için yeterli zaman olmadı. Bizim ama herkes aynı şeyi istiyor: kullanıcıları ve verileri için daha iyi güvenlik, "diye ekledi Microsoft.
Temel Kimlik Doğrulama (AKA Legacy Kimlik Doğrulaması veya Proxy Kimlik Doğrulaması), HTTP tabanlı bir Auth Şeması Uygulamaları, Sunuculara, Uç Noktalara veya Çeşitli Çevrimiçi Hizmetlere düz metin göndermek için kullanır.
Ne yazık ki, bu, tehdit aktörlerinin TLS üzerindeki ortadaki adam saldırılarında kimlik bilgilerini çalmasına veya şifre sprey saldırılarında tahmin etmelerini sağlar. Sosyal mühendislik ve bilgi yönlendiren kötü amaçlı yazılımlar da dahil olmak üzere çeşitli taktikler aracılığıyla temel kimliği kullanarak uygulamalardan açık metin kimlik bilgileri çalabilirler.
Modern kimlik doğrulama (çoklu kimlik doğrulama ve yetkilendirme yöntemi için bir şemsiye terimi), verildiklerinin yanı sıra diğer kaynaklarda kimlik doğrulaması yapmak için yeniden kullanılamayan OAuth erişim belirteçleri kullanır.
İşleri daha da kötüleştirmek için, Basic Auth çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmeyi oldukça karmaşık hale getirir, bu da genellikle hiç kullanılmayacaktır. Modern otoriteye başlamak, MFA'nın daha az karmaşık olmasını sağlar, böylece daha iyi alışveriş çevrimiçi güvenliği sağlar.
Çevrimiçi olarak Exchange'de modern kimliği geçmenin arkasında birçok neden olsa da, bir Guardicore raporu Eylül 2021'de listeye bir tane daha ekledi.
Ayrıca, bu hareketin önemini vurguladı ve yüz binlerce Windows Domain kimlik bilgilerinin, temel Auth kullanan yanlış yapılandırılmış e -posta istemcileri tarafından dış alanlara düz metinde nasıl sızdığını gösterdi.
Microsoft 365 genel müdürü Seth Patton, "Kendi araştırmamız, şifre sprey saldırılarının yüzde 99'undan fazlasının temel kimlik doğrulamasının varlığından yararlandığını buldu."
"Aynı çalışma, kimlik bilgisi doldurma saldırılarının yüzde 97'sinden fazlasının eski kimlik doğrulamasını da kullandığını buldu. Temel kimlik doğrulamasını devre dışı bırakan müşteriler, hala kullananlardan yüzde 67 daha az uzlaşma yaşadı."
Ekim ayının zorla temel kimlik doğrulama kullanımdan kaldırılması için daha fazla bilgi bulabilirsiniz ve bugün yayınlanan Exchange ekibinin blog gönderisinde temel kimliği önlemenin en iyi yolu.
Microsoft: Yeni hataları tamamen yamalamak için gerekli "genişletilmiş koruma"
Microsoft Exchange Sunucuları IIS Backdoors ile giderek daha fazla hacklendi
Microsoft, düzinelerce Azure Site Kurtarma ayrıcalığını düzeltiyor.
Microsoft, bilgisayar korsanlarının hesaplarını kaçırmasına izin veren Tiktok Android kusurunu buldu
Bilgisayar korsanları, kobalt grev alternatifi olarak Sliver araç setini benimser
Kaynak: Bleeping Computer