Basic Authentication von Microsoft deaktiviert

Basic Authentication von Microsoft deaktiviert

Ab 01. Oktober 2022 beginnt Microsoft, die Basic Authentication für MAPI, RPC, OAB, EWS, RPS, POP, IMAP und EAS Protokolle in Exchange Online zu deaktivieren. Wird SMTP Authentication nicht genutzt, wird diese ebenfalls eingestellt.

In den letzten Monaten (und Jahren) waren bereits inaktive und neue Tenants von der Änderung betroffen. Ab 01.10.2022 werden nun nach dem Zufallsprinzip laufend in allen aktiven Tenants, die noch nicht auf eine Modern Authentication gewechselt haben, die angeführten Protokolle deaktiviert. Microsoft informiert im Message Center jeweils sieben Tage im Voraus über die bevorstehende Deaktivierung. Insgesamt wird die Umstellung laut den Angaben des Unternehmens bis Ende des Jahres abgeschlossen sein.

Um unvorbereiteten Kunden einen kleinen Spielraum einzuräumen, hat Microsoft nun eine temporäre Übergangsregelung angekündigt: nach einer erfolgten Deaktivierung gibt es (maximal bis 31. Dezember 2022) noch ein einziges Mal je Protokoll die Möglichkeit, die alte Authentifizierungsmethode mittels Selbstdiagnose zu reaktivieren und bis Ende Dezember zu nutzen. Außerdem gibt es die Möglichkeit, bereits jetzt im September mittels Opt-Out zu definieren, welche Protokolle man bis Ende des Jahres mit Basic Authentication ausführen möchte. Im neuen Jahr werden dann alle Protokolle dauerhaft deaktiviert.

Grund für die Umstellung ist vor allem der Sicherheitsaspekt: die Basic Authentication ist eines der größten Risiken für Nutzer von Exchange Online, da die Daten der User (Benutzername und Kennwort) bei jeder Anforderung in Klartext übermittelt werden. Modern Authentication basiert hingegen auf dem als sicher geltende Protokoll OAuth 2.0. Die Angriffe auf die User und ihre Daten nimmt laut Unternehmensangaben laufend zu, mit der Umstellung wolle man nun dementsprechend für mehr Sicherheit in der Zukunft sorgen.

Der angekündigte Ablauf:

Quelle: https://techcommunity.microsoft.com/t5/exchange-team-blog/basic-authentication-deprecation-in-exchange-online-september/ba-p/3609437