Authentification de base vs authentification moderne : comment l’activer dans Office 365

Selon un Rapport de Verizon, la majorité des violations de données sont rendues possibles par des identifiants de connexion compromis, en particulier sur les serveurs de messagerie. L’ingénierie sociale, l’hameçonnage des identifiants de connexion et les attaques par force brute sont quelques-unes des méthodes utilisées par des acteurs malveillants pour voler des identifiants de connexion.

Pour améliorer la sécurité des connexions à Office et contribuer à prévenir les violations de données, Microsoft a introduit la méthode d’authentification moderne. Cette méthode nécessite une authentification et une autorisation supplémentaires de l’utilisateur lors de la connexion aux ressources Office 365 en ligne.

En raison de ses avantages considérables, l’authentification moderne est activée par défaut dans tous les tenants Office 365 créés depuis 2017. C’est la seule méthode de connexion disponible pour les applications et services Office 365. Toutefois, dans les déploiements Office hybrides sur site et dans le cloud, vous devez activer manuellement l’authentification moderne pour les anciennes versions des clients Office et désactiver l’authentification de base dans la mesure du possible.

Ce blog présente brièvement les méthodes d’authentification de base et moderne pour les déploiements Office hybrides et décrit les étapes à suivre pour activer l’authentification moderne dans Office 365.

Sauvegarde pour Microsoft 365

Utilisez la solution NAKIVO pour sauvergarder les données Microsoft 365 dans Exchange Online, Teams, OneDrive et SharePoint Online, afin de garantir la continuité des flux de travail et l'absence totale d'interruption de service.

DÉCOUVREZ LA SOLUTION

Authentification moderne vs authentification de base

Jusqu’à la dépréciation de l’authentification de base planifié pour fin 2022, Microsoft proposera deux types d’authentification pour les déploiements hybrides d’Exchange et de Skype Entreprise : l’authentification de base et l’authentification moderne. Notez que pour se connecter à SharePoint Online à l’aide d’un client, seules l’authentification moderne et l’Assistant de connexion Microsoft Online sont disponibles.

Ces deux méthodes d’authentification diffèrent considérablement en termes de capacités de protection. Même si l’authentification de base sera obsolète d’ici la fin de l’année, il est important de comprendre les différences entre ces deux options.

Qu’est-ce que l’authentification de base ?

L’authentification de base consiste à se connecter aux applications Office 365 en utilisant uniquement un nom d’utilisateur et un mot de passe. Lorsque vous saisissez votre nom d’utilisateur et votre mot de passe dans un client de messagerie, ceux-ci sont transmis à Exchange Online à des fins de vérification et d’authentification avant que vous ne soyez connecté au service cloud.

Il s’agit d’une méthode obsolète qui ne peut plus offrir une protection adéquate contre les menaces liées aux identifiants de connexion. L’une des principales vulnérabilités de l’authentification de base réside dans le fait que les applications stockent les identifiants de connexion des utilisateurs sur l’appliance, ce qui multiplie les occasions pour les pirates de tenter de voler des mots de passe. De plus, de nombreuses fonctionnalités de gestion des identités et des accès de Microsoft, telles que l’accès conditionnel et l’authentification multifactorielle (MFA), ne sont pas disponibles avec cette authentification héritée d’Office 365.

Qu’est-ce que l’authentification moderne ?

L’authentification moderne est une combinaison de différentes méthodes d’authentification et d’autorisation permettant d’accéder aux ressources cloud de Microsoft Office. L’authentification moderne repose sur la bibliothèque d’authentification Active Directory (ADAL) et OAuth 2.0.

• Active Directory Authentication Library est un outil d’authentification permettant aux applications d’accéder à des ressources sécurisées via des jetons de sécurité. Grâce à ADAL, les utilisateurs bénéficient également d’une authentification unique (SSO) pour un accès transparent aux ressources Office 365 mises à leur disposition.
• OAuth 2.0 est un protocole d’autorisation qui permet aux utilisateurs d’accéder à des ressources via une application cliente à l’aide de jetons d’accès. Ce cadre implique une délégation d’accès et, à ce titre, les identifiants de connexion des utilisateurs ne sont pas partagés avec le serveur de ressources.

Le cadre d’authentification moderne ajoute une couche de sécurité supplémentaire pour les utilisateurs qui se connectent à leurs ressources Microsoft 365 à partir d’applications clientes. De plus, ce cadre permet l’activation de l’authentification multifactorielle (MFA) et l’utilisation de Accès conditionnel politiques.

Comment activer l’authentification moderne dans Office 365

Pour les tenants Microsoft créés avant août 2017, il existe différentes méthodes pour activer l’authentification moderne dans Office 365 :

À l’aide du Centre d’administration Microsoft 365

Pour activer l’authentification moderne dans Office 365 depuis le Centre d’administration :

1. Connectez-vous à Centre d’administration de Microsoft 365.
2. Dans le volet de navigation de gauche, développez Settings, puis cliquez sur Org settings.
3. Sous Services, choisissez Modern authentication.
4. Cochez la case Turn on modern authentication for Outlook 2013 for Windows and later (recommended).
5. Cliquez sur Save.

À l’aide d’Exchange Online PowerShell

Suivez les étapes ci-dessous pour activer l’authentification moderne à l’aide d’Exchange Online PowerShell :

1. Se connecter à Exchange Online via PowerShell.
2. Exécutez la commande suivante pour les clients Outlook 2013 ou ultérieurs :
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. Vérifiez que la modification a bien été effectuée et que l’authentification moderne a été activée à l’aide de cette commande :
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

Il est important de noter que cela ne vous empêche pas d’utiliser la méthode d’authentification de base. Toutefois, vous pouvez forcer l’utilisation de l’authentification héritée d’O365 dans Outlook 2013 ou une version ultérieure en exécutant la commande suivante :
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

Désactivation de l’authentification de base dans Office 365

Après avoir activé l’authentification moderne dans Office 365, vous pouvez maintenant désactiver les protocoles d’authentification de base. Toutefois, vous devez vous assurer qu’aucun utilisateur ne les utilise. Suivez ces étapes pour vérifier si des utilisateurs ont recours à l’authentification de base :

1. Ouvrez votre compte Microsoft Azure.
2. Accédez à Azure Active Directory.

3. Sélectionnez Sign-in logs dans le volet de navigation de gauche.
4. Remplacez Date range par Last 7 days ou une valeur supérieure.
5. Cliquez sur Add filters.
6. Sélectionnez Client app, puis cliquez sur Apply.

7. Cliquez sur le filtre nouvellement créé Client app.
8. Cochez toutes les cases sous Legacy Authentication Clients
9. Cliquez sur Apply.

Cette liste comprend tous les événements de connexion, ainsi que les utilisateurs et les applications correspondants. Avant de désactiver l’authentification de base, vous pouvez migrer toutes ces applications vers les protocoles d’authentification moderne afin de continuer à les utiliser.

Pour désactiver l’authentification héritée d’O365 :

1. Accédez au Centre d’administration de Microsoft 365.
2. Dans le volet de navigation de gauche, développez Settings et cliquez sur Org settings.
3. Sélectionnez Modern authentication sous Services.
4. Désélectionnez toutes les cases sous Allow access to basic authentication protocols.
5. Cliquez sur Save.

Authentification moderne dans Outlook

Bien que les dernières versions d’Outlook prennent en charge l’authentification moderne par défaut, son ajout aux anciens clients nécessite une configuration manuelle. Les différentes versions d’Outlook ont des conditions à remplir différentes pour activer l’authentification moderne :

• Outlook 2010 or earlier: L’authentification moderne n’est pas prise en charge et vous devez mettre à niveau Outlook pour bénéficier de cette fonctionnalité.
• Outlook 2013: L’authentification moderne est disponible, mais elle n’est pas activée par défaut. Vous devez obliger Outlook à l’utiliser une fois qu’elle est activée.
• Outlook 2016 or later + Outlook 365: L’authentification moderne est disponible et activée par défaut.

Le tableau ci-dessous récapitule les conditions à remplir pour chaque version :

Authentification moderne dans Outlook 2013

Comme indiqué précédemment, Outlook 2013 prend en charge l’authentification moderne, mais utilise l’authentification de base par défaut. Vous pouvez activer manuellement l’authentification moderne.

Pour ce faire, vous devez ajouter les clés suivantes dans le Registre Windows :

Après avoir défini ces clés, Microsoft recommande d’ajouter une autre clé de registre afin de forcer Outlook 2013 à utiliser l’authentification moderne et d’éviter qu’il ne revienne à l’authentification de base. La clé à utiliser est la suivante :

Authentification moderne dans Outlook 2016 ou version ultérieure

Bien que l’authentification moderne soit activée par défaut dans Outlook 2016, il est conseillé de la forcer à l’aide de la clé de registre ci-dessous :

Authentification moderne de Skype Entreprise

L’authentification moderne étant désactivée par défaut pour tous les tenants Microsoft créés avant le 1er août 2017, vous devez l’activer manuellement. Comme dans Outlook, vous pouvez activer l’authentification moderne dans Skype Entreprise à l’aide des clés de registre suivantes :

Conclusion

Microsoft abandonne progressivement l’authentification héritée d’O365, car de simples identifiants de connexion ne peuvent plus garantir la protection de sécurité nécessaire. Heureusement, d’autres mesures de sécurité sont disponibles, et il est recommandé d’activer l’authentification moderne dans Office 365. Une fois cette fonctionnalité activée, vous pouvez mettre en place l’authentification multifactorielle (MFA), définir des autorisations et restreindre l’accès des utilisateurs à certaines applications.

Cela dit, le recours à une solution de sauvegarde complète proposée par un éditeur tiers garantit une protection optimale des environnements Office 365. Une solution complète de protection des données telle que NAKIVO Backup & Replication comprend tous les outils dont vous avez besoin pour protéger les données Microsoft 365 au sein de votre organisation.

Essayez NAKIVO Backup & Replication

Profitez d'un essai gratuit pour découvrir toutes les fonctionnalités de protection des données de la solution. 15 jours gratuits. Aucune restriction en termes de fonctionnalités ou de capacité. Aucune carte bancaire requise.

Essayez gratuitement