Autenticazione di base vs. autenticazione moderna e come abilitarla in Office 365

<> & Secondo un rapporto di Verizon, la maggior parte delle violazioni dei dati è resa possibile da credenziali compromesse, in particolare sui server di e-mail. L’ingegneria sociale, il phishing delle credenziali e gli attacchi di forza bruta sono alcuni dei metodi utilizzati dagli autori di attacchi per rubare le credenziali.

Per migliorare la sicurezza degli accessi a Office e aiutare a prevenire le violazioni dei dati, Microsoft ha introdotto il metodo di autenticazione moderna. Questo metodo richiede un’autenticazione e un’autorizzazione aggiuntive da parte dell’utente quando si connette alle risorse online di Office 365.

Grazie ai suoi notevoli vantaggi, l’autenticazione moderna è stata abilitata per impostazione predefinita in tutti i tenant di Office 365 creati dal 2017. È l’unico metodo di accesso disponibile per le app e i servizi di Office 365. Tuttavia, nelle implementazioni ibride di Office on-premise-cloud, è necessario abilitare manualmente l’autenticazione moderna per le versioni precedenti del client Office e disabilitare l’autenticazione di base, ove possibile.

Questo blog offre una breve panoramica dei metodi di autenticazione di base e moderna per le implementazioni ibride di Office e fornisce i passaggi per abilitare l’autenticazione moderna in Office 365.

Backup for Microsoft 365 Data

Use the NAKIVO solution to back up Microsoft 365 data in Exchange Online, Teams, OneDrive and SharePoint Online for uninterrupted workflows and zero downtime.

DISCOVER SOLUTION

Autenticazione moderna vs. autenticazione di base

Fino alla dismissione dell’autenticazione di base pianificata per la fine del 2022, Microsoft fornirà due tipi di autenticazione per le implementazioni ibride di Exchange e Skype for Business: autenticazione di base e autenticazione moderna. Si noti che per la connessione a SharePoint Online tramite un client sono disponibili solo l’autenticazione moderna e Microsoft Online Sign-in Assistant.

Questi due metodi di autenticazione differiscono notevolmente in termini di capacità di protezione. Anche se l’autenticazione di base sarà deprecata entro la fine dell’anno, è importante comprendere le differenze tra le due opzioni.

Che cos’è l’autenticazione di base?

L’autenticazione di base è il processo di connessione alle applicazioni di Office 365 utilizzando solo un nome utente e una password. Quando si immettono il nome utente e la password in un client di e-mail, questi vengono trasmessi a Exchange Online per la verifica e l’autenticazione prima di connettersi al servizio cloud.

Si tratta di un metodo obsoleto che non è più in grado di fornire una protezione adeguata contro le minacce alle credenziali. Una delle principali vulnerabilità dell’autenticazione di base è che le applicazioni memorizzano le credenziali degli utenti sul dispositivo, creando maggiori opportunità per gli hacker che tentano di rubare le password. Inoltre, molte delle funzioni di gestione delle identità e degli accessi di Microsoft, come l’accesso condizionale e l’autenticazione a più fattori (MFA), non sono disponibili con questa autenticazione legacy di Office 365.

Che cos’è l’autenticazione moderna?

L’autenticazione moderna è una combinazione di diversi metodi di autenticazione e autorizzazione per accedere alle risorse cloud di Microsoft Office. L’autenticazione moderna si basa su Active Directory Authentication Library (ADAL) e OAuth 2.0.

• Active Directory Authentication Library è uno strumento di autenticazione che consente alle app di accedere a risorse protette tramite token di sicurezza. Con ADAL, gli utenti ottengono anche il Single Sign-On (SSO) per un accesso senza interruzioni alle risorse di Office 365 a loro disposizione.
• OAuth 2.0 è un protocollo di autorizzazione che consente agli utenti di accedere alle risorse tramite un’app client utilizzando token di accesso. Questo framework prevede la delega dell’accesso e, pertanto, le credenziali dell’utente non vengono condivise con il server delle risorse.

Il moderno framework di autenticazione aggiunge un ulteriore livello di sicurezza per gli utenti che accedono alle loro risorse Microsoft 365 dalle app client. Inoltre, questo framework consente l’attivazione dell’autenticazione a più fattori (MFA) e l’uso di Accesso condizionale criteri.

Come abilitare l’autenticazione moderna in Office 365

Per i tenant Microsoft creati prima di agosto 2017, esistono diversi metodi per abilitare l’autenticazione moderna in Office 365:

Utilizzo del centro di amministrazione di Microsoft 365

Per attivare l’autenticazione moderna in Office 365 tramite il centro di amministrazione:

1. Accedere al centro di amministrazione di Microsoft 365.
2. Nel riquadro di navigazione a sinistra, espandere Impostazioni e quindi fare clic su Impostazioni dell’organizzazione.
3. In Servizi, selezionare Autenticazione moderna.
4. Selezionare Attivare l’autenticazione moderna per Outlook 2013 per Windows e versioni successive (consigliato) casella di controllo.
5. Fare clic su Salvare.

Utilizzo di Exchange Online PowerShell

Seguire i passaggi riportati di seguito per attivare l’autenticazione moderna utilizzando Exchange Online PowerShell:

1. Connetti a Exchange Online PowerShell.
2. Eseguire il seguente comando per i client Outlook 2013 o versioni successive:
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. Verifica che la modifica sia stata eseguita correttamente e che l’autenticazione moderna sia stata abilitata con questo comando:
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

È importante notare che ciò non impedisce di utilizzare il metodo di autenticazione di base. Tuttavia, è possibile forzare l’uso dell’autenticazione legacy O365 in Outlook 2013 o versioni successive eseguendo il comando:
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

Disabilitazione dell’autenticazione di base di Office 365

Dopo aver abilitato l’autenticazione moderna in Office 365, è ora possibile disabilitare i protocolli di autenticazione di base. Tuttavia, è necessario assicurarsi che nessun utente ne tragga vantaggio. Seguire questi passaggi per verificare se qualcuno sta utilizzando l’autenticazione di base:

1. Apri il tuo account Microsoft Azure .
2. Accedi a Azure Active Directory.

3. Scegliere Registri di accesso nel riquadro di navigazione a sinistra.
4. Modifica Intervallo di date in Ultimi 7 giorni o più.
5. Clicca su Aggiungi filtri.
6. Seleziona App cliente quindi clicca su Applica.

7. Fare clic sul filtro appena creato App client.
8. Selezionare tutte le caselle sotto Client di autenticazione legacy
9. Fare clic su Applica.

Questo elenco include tutti gli eventi di accesso con i relativi utenti e applicazioni. Prima di disabilitare l’autenticazione di base, è possibile migrare tutte queste applicazioni ai protocolli di autenticazione moderni in modo da non perderle.

Per disabilitare l’autenticazione legacy O365:

1. Accedere al Centro di amministrazione di Microsoft 365.
2. Nel riquadro di navigazione sinistro, espandere Impostazioni e fare clic su Impostazioni organizzazione.
3. Scegliere Autenticazione moderna sotto Servizi.
4. Deseleziona tutte le caselle di controllo sotto Consenti l’accesso ai protocolli di autenticazione di base.
5. Fai clic su Salva.

Autenticazione moderna di Outlook

Sebbene le ultime edizioni di Outlook supportino l’autenticazione moderna per impostazione predefinita, aggiungerla ai client meno recenti richiede una configurazione manuale. Le diverse versioni di Outlook hanno requisiti diversi per quanto riguarda l’abilitazione dell’autenticazione moderna:

• Outlook 2010 o versioni precedenti: L’autenticazione moderna non è supportata ed è necessario aggiornare Outlook per poter usufruire di questa funzionalità.
• Outlook 2013: L’autenticazione moderna è disponibile ma non è attivata per impostazione predefinita, pertanto è necessario forzare Outlook a utilizzarla una volta abilitata.
• Outlook 2016 o versioni successive + Outlook 365: L’autenticazione moderna è disponibile e abilitata per impostazione predefinita.

La tabella seguente riassume i requisiti di ciascuna versione:

Autenticazione moderna in Outlook 2013

Come accennato in precedenza, Outlook 2013 supporta l’autenticazione moderna, ma utilizza l’autenticazione di base per impostazione predefinita. È possibile attivare manualmente l’autenticazione moderna.

A tal fine, è necessario aggiungere le seguenti chiavi nel registro di Windows:

Dopo aver impostato queste chiavi, Microsoft consiglia di aggiungere un’altra chiave di registro per forzare Outlook 2013 a utilizzare l’autenticazione moderna in modo che non torni all’autenticazione di base. La chiave da utilizzare è:

Autenticazione moderna in Outlook 2016 o versioni successive

Sebbene l’autenticazione moderna sia abilitata per impostazione predefinita in Outlook 2016, si consiglia di forzare l’autenticazione moderna con la chiave di registro riportata di seguito:

Autenticazione moderna di Skype for Business

Poiché l’autenticazione moderna è disattivata per impostazione predefinita per tutti i tenant Microsoft creati prima del 1° agosto 2017, è necessario attivarla manualmente. Proprio come in Outlook, è possibile abilitare l’autenticazione moderna in Skype for Business con le seguenti chiavi di registro:

Conclusione

Microsoft sta gradualmente eliminando l’autenticazione legacy di O365 poiché un semplice set di credenziali non è più in grado di garantire la protezione di sicurezza necessaria. Fortunatamente, sono disponibili altre misure di sicurezza e si consiglia di attivare l’autenticazione moderna in Office 365. Una volta abilitata, è possibile attivare l’autenticazione a più fattori (MFA), definire le autorizzazioni e limitare l’accesso a specifiche applicazioni per gli utenti.

Detto questo, disporre di una soluzione di backup completa di terze parti garantisce una protezione ottimale per gli ambienti Office 365. Una soluzione completa per la protezione dei dati come NAKIVO Backup & Replication include tutti gli strumenti necessari per proteggere i dati Microsoft 365 nella vostra organizzazione.

Try NAKIVO Backup & Replication

Get a free trial to explore all the solution’s data protection capabilities. 15 days for free. Zero feature or capacity limitations. No credit card required.

Try for Free