Podstawowe uwierzytelnianie a nowoczesne uwierzytelnianie oraz jak je włączyć w Office 365

Według Raport firmy Verizon większość naruszeń bezpieczeństwa danych jest możliwa z powodu przejętych poświadczeń, zwłaszcza na serwerach poczty e-mail. Inżynieria społeczna, phishing wyłudzający poświadczenia i ataki siłowe to niektóre z metod stosowanych przez złośliwe podmioty w celu kradzieży poświadczeń.

Aby zwiększyć bezpieczeństwo logowania do pakietu Office i zapobiegać naruszeniom bezpieczeństwa danych, firma Microsoft wprowadziła nowoczesną metodę uwierzytelniania. Ta metoda wymaga dodatkowego uwierzytelniania i autoryzacji użytkownika podczas łączenia się z zasobami usługi Office 365 online.

Ze względu na znaczące korzyści nowoczesne uwierzytelnianie jest domyślnie włączone we wszystkich dzierżawcach usługi Office 365 utworzonych od 2017 r. Jest to jedyna metoda logowania dostępna w aplikacjach i usługach Office 365. Jednak w hybrydowych wdrożeniach pakietu Office w środowisku lokalnym i chmurze należy ręcznie włączyć nowoczesne uwierzytelnianie w starszych wersjach klientów pakietu Office oraz, tam gdzie to możliwe, wyłączyć uwierzytelnianie podstawowe.

Ten wpis na blogu zawiera krótki przegląd podstawowych i nowoczesnych metod uwierzytelniania w hybrydowych wdrożeniach pakietu Office oraz opisuje kroki umożliwiające włączenie nowoczesnego uwierzytelniania w usłudze Office 365.

Kopia zapasowa dla Microsoft 365

Skorzystaj z rozwiązania NAKIVO do wykonywania kopii zapasowych danych Microsoft 365 w usługach Exchange Online, Teams, OneDrive i SharePoint Online, aby zapewnić nieprzerwany przebieg procesów i całkowity brak przestojów.

ODKRYJ ROZWIĄZANIE

Uwierzytelnianie nowoczesne a uwierzytelnianie podstawowe

Do momentu wycofania uwierzytelniania podstawowego zaplanowane na koniec 2022 rokufirma Microsoft będzie udostępniać dwa rodzaje uwierzytelniania dla wdrażania usług Exchange i Skype for Business: uwierzytelnianie podstawowe oraz uwierzytelnianie nowoczesne. Należy pamiętać, że w przypadku łączenia się z usługą SharePoint Online za pomocą klienta dostępne są wyłącznie uwierzytelnianie nowoczesne oraz Asystent logowania online firmy Microsoft.

Te dwie metody uwierzytelniania znacznie różnią się pod względem możliwości zabezpieczeń. Mimo że uwierzytelnianie podstawowe zostanie wycofane jeszcze w tym roku, ważne jest, aby zrozumieć różnice między tymi dwiema opcjami.

Czym jest uwierzytelnianie podstawowe?

Uwierzytelnianie podstawowe to proces łączenia się z aplikacjami Office 365 przy użyciu wyłącznie nazwy użytkownika i hasła. Po wprowadzeniu nazwy użytkownika i hasła w kliencie e-maila dane te są przesyłane do usługi Exchange Online w celu weryfikacji i uwierzytelnienia przed nawiązaniem połączenia z usługą w chmurze.

Jest to przestarzała metoda, która nie zapewnia już odpowiedniej ochrony przed zagrożeniami związanymi z danymi uwierzytelniającymi. Jedną z głównych słabości uwierzytelniania podstawowego jest to, że aplikacje przechowują dane uwierzytelniające użytkownika na urządzeniu, co stwarza więcej okazji dla hakerów próbujących wykraść hasła. Ponadto wiele funkcji zarządzania tożsamością i dostępem firmy Microsoft, takich jak dostęp warunkowy i uwierzytelnianie wieloskładnikowe (MFA), nie są dostępne w przypadku tego starszego systemu uwierzytelniania w usłudze Office 365.

Czym jest nowoczesne uwierzytelnianie?

Nowoczesne uwierzytelnianie to połączenie różnych metod uwierzytelniania i autoryzacji umożliwiających dostęp do zasobów chmury Microsoft Office. Nowoczesne uwierzytelnianie opiera się na bibliotece Active Directory Authentication Library (ADAL) oraz protokole OAuth 2.0.

• Active Directory Authentication Library to narzędzie uwierzytelniające dla aplikacji, umożliwiające dostęp do zabezpieczonych zasobów za pomocą tokenów bezpieczeństwa. Dzięki ADAL użytkownicy zyskują również możliwość korzystania z logowania jednokrotnego (SSO), co zapewnia płynny dostęp do dostępnych im zasobów Office 365.
• OAuth 2.0 to protokół autoryzacji, który pozwala użytkownikom na dostęp do zasobów za pośrednictwem aplikacji klienckiej przy użyciu tokenów dostępu. Ta struktura opiera się na delegowaniu dostępu, w związku z czym poświadczenia użytkownika nie są udostępniane serwerowi zasobów.

Nowoczesna struktura uwierzytelniania zapewnia dodatkową warstwę bezpieczeństwa użytkownikom logującym się do zasobów Microsoft 365 z aplikacji klienckich. Ponadto struktura ta umożliwia aktywację uwierzytelniania wieloskładnikowego (MFA) oraz stosowanie zasad Dostęp warunkowy.

Jak włączyć nowoczesne uwierzytelnianie w Office 365

W przypadku dzierżawców Microsoft utworzonych przed sierpniem 2017 r. istnieją różne metody włączania nowoczesnego uwierzytelniania w Office 365:

Za pomocą centrum administracyjnego Microsoft 365

Aby włączyć nowoczesne uwierzytelnianie w Office 365 za pośrednictwem centrum administracyjnego:

1. Zaloguj się do Centrum administracyjne Microsoft 365.
2. W lewym okienku nawigacji rozwiń Settings, a następnie kliknij Org settings.
3. W sekcji Services wybierz Modern authentication.
4. Zaznacz pole wyboru Turn on modern authentication for Outlook 2013 for Windows and later (recommended).
5. Kliknij Save.

Za pomocą Exchange Online PowerShell

Wykonaj poniższe kroki, aby włączyć nowoczesne uwierzytelnianie za pomocą Exchange Online PowerShell:

1. Połącz się z Exchange Online za pomocą PowerShell.
2. Uruchom następujące polecenie dla klientów Outlook 2013 lub nowszych:
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. Sprawdź, czy zmiana zakończyła się powodzeniem i czy włączono nowoczesne uwierzytelnianie, za pomocą tego polecenia:
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

Należy pamiętać, że nie uniemożliwia to korzystania z metody uwierzytelniania podstawowego. Można jednak wymusić używanie starszego uwierzytelniania O365 w programie Outlook 2013 lub nowszym, uruchamiając polecenie:
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

Wyłączanie uwierzytelniania podstawowego w Office 365

Po włączeniu nowoczesnego uwierzytelniania w Office 365 można wyłączyć protokoły uwierzytelniania podstawowego. Należy jednak upewnić się, że żaden użytkownik z nich nie korzysta. Wykonaj poniższe kroki, aby sprawdzić, czy ktoś używa uwierzytelniania podstawowego:

1. Otwórz swoje konto Microsoft Azure.
2. Otwórz Azure Active Directory.

3. Wybierz Sign-in logs w lewym okienku nawigacji.
4. Zmień Date range na Last 7 days lub więcej.
5. Kliknij Add filters.
6. Wybierz Client app, a następnie kliknij Apply.

7. Kliknij nowo utworzony filtr Client app.
8. Zaznacz wszystkie pola w sekcji Legacy Authentication Clients
9. Kliknij Apply.

Ta lista zawiera wszystkie zdarzenia logowania wraz z odpowiadającymi im użytkownikami i aplikacjami. Przed wyłączeniem uwierzytelniania podstawowego można przenieść wszystkie te aplikacje na protokoły nowoczesnego uwierzytelniania, aby ich nie utracić.

Aby wyłączyć starsze uwierzytelnianie O365:

1. Uzyskaj dostęp do Centrum administracyjne Microsoft 365.
2. W lewym okienku nawigacji rozwiń Settings i kliknij Org settings.
3. Wybierz Modern authentication w sekcji Services.
4. Odznacz wszystkie pola wyboru w sekcji Allow access to basic authentication protocols.
5. Kliknij Save.

Nowoczesne uwierzytelnianie w programie Outlook

Najnowsze edycje programu Outlook domyślnie obsługują nowoczesne uwierzytelnianie, ale dodanie go do starszych klientów wymaga ręcznej konfiguracji. Poszczególne wersje programu Outlook mają różne wymagania dotyczące włączania nowoczesnego uwierzytelniania:

• Outlook 2010 or earlier: Nowoczesne uwierzytelnianie nie jest obsługiwane, dlatego aby skorzystać z tej funkcji, należy zaktualizować program Outlook.
• Outlook 2013: Nowoczesne uwierzytelnianie jest dostępne, ale domyślnie nie jest włączone. Po jego włączeniu należy wymusić korzystanie z niego przez program Outlook.
• Outlook 2016 or later + Outlook 365: Nowoczesne uwierzytelnianie jest dostępne i domyślnie włączone.

Poniższa tabela podsumowuje wymagania dotyczące poszczególnych wersji:

Nowoczesne uwierzytelnianie w programie Outlook 2013

Jak wspomniano wcześniej, program Outlook 2013 obsługuje nowoczesne uwierzytelnianie, ale domyślnie korzysta z uwierzytelniania podstawowego. Można ręcznie włączyć nowoczesne uwierzytelnianie.

Aby to zrobić, należy dodać następujące klucze do rejestru systemu Windows:

Po ustawieniu tych kluczy firma Microsoft zaleca dodanie jeszcze jednego klucza rejestru, aby wymusić korzystanie przez program Outlook 2013 z nowoczesnego uwierzytelniania i zapobiec powrotowi do uwierzytelniania podstawowego. Należy użyć następującego klucza:

Nowoczesne uwierzytelnianie w programie Outlook 2016 lub nowszym

Chociaż nowoczesne uwierzytelnianie jest domyślnie włączone w programie Outlook 2016, zaleca się wymuszenie nowoczesnego uwierzytelniania za pomocą poniższego klucza rejestru:

Nowoczesne uwierzytelnianie w programie Skype dla firm

Ponieważ nowoczesne uwierzytelnianie jest domyślnie wyłączone dla wszystkich dzierżawców Microsoft utworzonych przed 1 sierpnia 2017 r., należy włączyć je ręcznie. Podobnie jak w programie Outlook, można włączyć nowoczesne uwierzytelnianie w programie Skype dla firm za pomocą następujących kluczy rejestru:

Podsumowanie

Firma Microsoft stopniowo wycofuje starsze uwierzytelnianie O365, ponieważ same poświadczenia nie zapewniają już wymaganego poziomu ochrony. Na szczęście dostępne są inne środki bezpieczeństwa, dlatego zaleca się włączenie nowoczesnego uwierzytelniania w usłudze Office 365. Po włączeniu tej funkcji można aktywować uwierzytelnianie wieloskładnikowe (MFA), zdefiniować uprawnienia oraz ograniczyć użytkownikom dostęp do określonych aplikacji.

Niemniej jednak posiadanie kompleksowego rozwiązania do tworzenia kopii zapasowych innej firmy zapewnia optymalną ochronę środowisk Office 365. Kompletne rozwiązanie do ochrony danych, takie jak NAKIVO Backup & Replication, zawiera wszystkie narzędzia niezbędne do zabezpieczenia danych Microsoft 365 w Twojej organizacji.

Wypróbuj NAKIVO Backup & Replication

Skorzystaj z bezpłatnej wersji próbnej, aby zapoznać się ze wszystkimi funkcjami rozwiązania w zakresie ochrony danych. 15 dni za darmo. Bez żadnych ograniczeń dotyczących funkcji ani pojemności. Nie jest wymagana karta kredytowa.

Wypróbuj za darmo