Xác thực cơ bản so với xác thực hiện đại và cách kích hoạt tính năng này trong Office 365

Theo một Báo cáo của Verizon, phần lớn các vụ rò rỉ dữ liệu xảy ra do thông tin xác thực bị xâm phạm, đặc biệt là trên các máy chủ email. Kỹ thuật xã hội, hành vi lừa đảo thông tin xác thực và các cuộc tấn công vét cạn là một số phương thức mà các tác nhân độc hại sử dụng để đánh cắp thông tin xác thực.

Để cải thiện tính bảo mật của các lần đăng nhập Office và giúp ngăn ngừa rò rỉ dữ liệu, Microsoft đã giới thiệu phương thức xác thực hiện đại. Phương thức này yêu cầu xác thực và ủy quyền bổ sung cho người dùng khi kết nối với các tài nguyên Office 365 trực tuyến.

Do có những lợi ích đáng kể, xác thực hiện đại đã được kích hoạt theo mặc định trong tất cả tenant Office 365 được tạo từ năm 2017. Đây là phương thức đăng nhập duy nhất hiện có cho các ứng dụng và dịch vụ Office 365. Tuy nhiên, trong các triển khai Office kết hợp tại chỗ–đám mây, bạn cần bật xác thực hiện đại theo cách thủ công cho các phiên bản ứng dụng khách Office cũ hơn và tắt xác thực cơ bản khi có thể.

Bài viết này cung cấp cái nhìn tổng quan ngắn gọn về các phương thức xác thực cơ bản và hiện đại cho các triển khai Office kết hợp, đồng thời hướng dẫn các bước bật xác thực hiện đại trong Office 365.

Sao lưu dữ liệu Microsoft 365

Sử dụng giải pháp NAKIVO để sao lưu dữ liệu Microsoft 365 trên Exchange Online, Teams, OneDrive và SharePoint Online, nhằm đảm bảo quy trình làm việc diễn ra liên tục và không có thời gian ngừng hoạt động.

KHÁM PHÁ GIẢI PHÁP

Xác thực hiện đại và xác thực cơ bản

Cho đến khi xác thực cơ bản bị ngừng hỗ trợ dự kiến vào cuối năm 2022, Microsoft sẽ cung cấp hai loại xác thực cho các triển khai kết hợp Exchange và Skype for Business: xác thực cơ bản và xác thực hiện đại. Lưu ý rằng để kết nối với SharePoint Online bằng ứng dụng khách, chỉ có thể sử dụng xác thực hiện đại và Microsoft Online Sign-in Assistant.

Hai phương thức xác thực này khác biệt đáng kể về khả năng bảo vệ. Mặc dù xác thực cơ bản sẽ bị ngừng hỗ trợ vào cuối năm nay, điều quan trọng là phải hiểu rõ sự khác biệt giữa hai lựa chọn này.

Xác thực cơ bản là gì?

Xác thực cơ bản là quy trình kết nối với các ứng dụng Office 365 chỉ bằng tên người dùng và mật khẩu. Khi bạn nhập tên người dùng và mật khẩu vào ứng dụng email, các thông tin này sẽ được gửi đến Exchange Online để xác minh và xác thực trước khi kết nối bạn với dịch vụ đám mây.

Đây là phương thức lỗi thời, không còn có thể bảo vệ đầy đủ trước các mối đe dọa nhắm vào thông tin xác thực. Một trong những lỗ hổng chính của xác thực cơ bản là các ứng dụng lưu trữ thông tin xác thực của người dùng trên thiết bị, tạo thêm cơ hội cho tin tặc tìm cách đánh cắp mật khẩu. Hơn nữa, nhiều tính năng quản lý danh tính và quyền truy cập của Microsoft, chẳng hạn như Quyền truy cập có điều kiện và xác thực đa yếu tố (MFA), không khả dụng với phương thức xác thực kế thừa này của Office 365.

Xác thực hiện đại là gì?

Xác thực hiện đại là sự kết hợp của nhiều phương thức xác thực và cấp quyền khác nhau để truy cập các tài nguyên đám mây của Microsoft Office. Xác thực hiện đại dựa trên Thư viện xác thực Active Directory (ADAL) và OAuth 2.0.

• Active Directory Authentication Library là công cụ xác thực dành cho các ứng dụng để truy cập tài nguyên được bảo vệ thông qua mã thông báo bảo mật. Với ADAL, người dùng cũng có được tính năng đăng nhập một lần (SSO), giúp truy cập liền mạch vào các tài nguyên Office 365 mà họ có thể sử dụng.
• OAuth 2.0 là giao thức cấp quyền cho phép người dùng truy cập tài nguyên thông qua ứng dụng khách bằng mã thông báo truy cập. Khung này bao gồm việc ủy quyền truy cập; do đó, thông tin xác thực của người dùng không được chia sẻ với máy chủ tài nguyên.

Khung xác thực hiện đại bổ sung một lớp bảo mật cho người dùng đăng nhập vào tài nguyên Microsoft 365 từ các ứng dụng khách. Ngoài ra, khung này cho phép kích hoạt xác thực đa yếu tố (MFA) và sử dụng các chính sách Truy cập có điều kiện.

Cách bật xác thực hiện đại trong Office 365

Đối với các tài khoản Microsoft được tạo trước tháng 8 năm 2017, có các phương pháp khác nhau để bật xác thực hiện đại trong Office 365:

Sử dụng Trung tâm quản trị Microsoft 365

Để bật xác thực hiện đại trong Office 365 thông qua Trung tâm quản trị:

1. Đăng nhập vào Trung tâm quản trị Microsoft 365.
2. Trong thanh điều hướng bên trái, mở rộng Settings và sau đó nhấp vào Org settings.
3. Trong phần Services, chọn Modern authentication.
4. Chọn hộp kiểm Turn on modern authentication for Outlook 2013 for Windows and later (recommended) .
5. Nhấp vào Save.

Sử dụng Exchange Online PowerShell

Thực hiện các bước sau để bật xác thực hiện đại bằng Exchange Online PowerShell:

1. Kết nối với Exchange Online PowerShell.
2. Chạy lệnh sau cho các máy khách Outlook 2013 trở lên:
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. Xác minh rằng thay đổi đã thành công và xác thực hiện đại đã được bật bằng lệnh này:
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

Cần lưu ý rằng điều này không ngăn cản bạn sử dụng phương thức xác thực cơ bản. Tuy nhiên, bạn có thể buộc sử dụng xác thực kiểu cũ của O365 trong Outlook 2013 trở lên bằng cách chạy lệnh:
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

Vô hiệu hóa xác thực cơ bản của Office 365

Sau khi bật xác thực hiện đại trong Office 365, bạn có thể vô hiệu hóa các giao thức xác thực cơ bản. Tuy nhiên, bạn cần đảm bảo rằng không có người dùng nào còn sử dụng phương thức này. Thực hiện các bước sau để kiểm tra xem có ai đang sử dụng xác thực cơ bản không:

1. Mở tài khoản Microsoft Azure của bạn.
2. Truy cập vào Azure Active Directory.

3. Chọn Sign-in logs trong thanh điều hướng bên trái.
4. Thay đổi Date range thành Last 7 days hoặc nhiều hơn.
5. Nhấp vào Add filters.
6. Chọn Client app rồi nhấp vào Apply.

7. Nhấp vào bộ lọc vừa tạo Client app.
8. Đánh dấu vào tất cả các ô dưới mục Legacy Authentication Clients
9. Nhấp vào Apply.

Danh sách này bao gồm tất cả các sự kiện đăng nhập cùng với người dùng và ứng dụng tương ứng. Trước khi vô hiệu hóa xác thực cơ bản, bạn có thể di chuyển tất cả các ứng dụng này sang các giao thức xác thực hiện đại để không bị mất chúng.

Để vô hiệu hóa xác thực cũ của O365:

1. Truy cập Trung tâm quản trị Microsoft 365.
2. Trong ngăn dẫn hướng bên trái, mở rộng Settings và nhấp vào Org settings.
3. Chọn Modern authentication trong mục Services.
4. Bỏ chọn tất cả các hộp kiểm trong mục Allow access to basic authentication protocols.
5. Nhấp vào Save.

Xác thực hiện đại trong Outlook

Mặc dù các phiên bản Outlook mới nhất hỗ trợ xác thực hiện đại theo mặc định, nhưng việc thêm tính năng này vào các ứng dụng khách cũ hơn đòi hỏi phải cấu hình thủ công. Các phiên bản Outlook khác nhau có các yêu cầu khác nhau để bật xác thực hiện đại:

• Outlook 2010 or earlier: Không hỗ trợ xác thực hiện đại và bạn cần nâng cấp Outlook để tận dụng chức năng này.
• Outlook 2013: Xác thực hiện đại khả dụng nhưng không được bật theo mặc định, và bạn nên buộc Outlook sử dụng tính năng này sau khi đã kích hoạt.
• Outlook 2016 or later + Outlook 365: Xác thực hiện đại khả dụng và được kích hoạt theo mặc định.

Bảng dưới đây tóm tắt các yêu cầu của từng phiên bản:

Xác thực hiện đại trong Outlook 2013

Như đã đề cập trước đó, Outlook 2013 hỗ trợ xác thực hiện đại nhưng sử dụng xác thực cơ bản theo mặc định. Bạn có thể bật xác thực hiện đại theo cách thủ công.

Để thực hiện, bạn cần thêm các khóa sau vào sổ đăng ký Windows:

Sau khi thiết lập các khóa này, Microsoft khuyến nghị bạn thêm một khóa đăng ký nữa để buộc Outlook 2013 sử dụng xác thực hiện đại, nhằm tránh quay lại phương thức xác thực cơ bản. Khóa bạn nên sử dụng là:

Xác thực hiện đại trong Outlook 2016 trở lên

Mặc dù xác thực hiện đại được bật theo mặc định trong Outlook 2016, bạn nên buộc sử dụng xác thực hiện đại bằng khóa đăng ký dưới đây:

Xác thực hiện đại trong Skype for Business

Vì xác thực hiện đại bị tắt theo mặc định đối với tất cả các tenant Microsoft được tạo trước ngày 1 tháng 8 năm 2017, bạn cần bật tính năng này theo cách thủ công. Cũng như trong Outlook, bạn có thể bật xác thực hiện đại trong Skype for Business bằng các khóa đăng ký sau:

Kết luận

Microsoft đang loại bỏ dần phương thức xác thực cũ của O365 vì chỉ một bộ thông tin xác thực đơn giản không còn có thể đảm bảo mức độ bảo vệ bảo mật cần thiết. May mắn thay, vẫn có các biện pháp bảo mật khác, và bạn nên bật xác thực hiện đại trong Office 365. Sau khi bật tính năng này, bạn có thể kích hoạt xác thực đa yếu tố (MFA), thiết lập quyền truy cập và hạn chế quyền truy cập vào các ứng dụng cụ thể cho người dùng.

Tuy nhiên, việc sử dụng một giải pháp sao lưu toàn diện của bên thứ ba sẽ đảm bảo mức độ bảo vệ tối ưu cho các môi trường Office 365. Một giải pháp bảo vệ dữ liệu toàn diện như NAKIVO Backup & Replication bao gồm tất cả các công cụ cần thiết để bảo vệ dữ liệu Microsoft 365 trong tổ chức của bạn.

Dùng thử NAKIVO Backup & Replication

Đăng ký dùng thử miễn phí để khám phá toàn bộ các tính năng bảo vệ dữ liệu của giải pháp này. Dùng thử miễn phí trong 15 ngày. Không có bất kỳ giới hạn nào về tính năng hay dung lượng. Không cần thẻ tín dụng.

Dùng thử miễn phí