基本驗證與現代驗證的比較，以及如何在 Office 365 中啟用這些功能

根據一份 Verizon 報告,大多數資料外洩事件都是因憑證遭到侵害而發生,尤其是在電子郵件伺服器上。社交工程、憑證網路釣魚和暴力破解攻擊,都是惡意人士用來竊取憑證的方法。

為了提升 Office 登入的安全性並幫助防止資料外洩,Microsoft 推出了新式驗證方法。連線至線上 Office 365 資源時,此方法需要額外的使用者驗證和授權。

由於新式驗證具有顯著優點,因此自 2017 年起建立的所有 Office 365 租戶都已預設啟用此功能。這是 Office 365 應用程式和服務唯一可用的登入方法。不過,在混合式本地部署與雲端 Office 部署中,您需要手動為較舊版本的 Office 用戶端啟用新式驗證,並在可能的情況下停用基本驗證。

本文簡要總覽混合式 Office 部署的基本驗證和新式驗證方法,並提供在 Office 365 中啟用新式驗證的步驟。

Microsoft 365 資料備份

使用 NAKIVO 解決方案備份 Exchange Online、Teams、OneDrive 及 SharePoint Online 中的 Microsoft 365 資料,以確保工作流程不中斷且零停機時間。

探索解決方案

新式驗證與基本驗證的比較

在基本驗證遭到棄用之前 預計於 2022 年底實施,Microsoft 將為 Exchange 和 Skype for Business 混合式部署提供兩種類型的驗證:基本驗證和新式驗證。請注意,使用用戶端連線至 SharePoint Online 時,只有新式驗證和 Microsoft Online 登入小幫手可供使用。

這兩種驗證方法在防護能力方面有很大的差異。雖然基本驗證將於今年稍晚遭到棄用,但了解這兩種選項之間的差異仍然很重要。

什麼是基本驗證？

基本驗證是僅使用用戶名稱和密碼連線至 Office 365 應用程式的程序。當您在電子郵件用戶端中輸入用戶名稱和密碼時,這些資料會傳送至 Exchange Online 進行驗證,之後才會將您連線至雲端服務。

這是一種過時的方法,無法再提供足夠的防護來抵禦認證威脅。基本驗證的主要弱點之一,是應用程式會將使用者認證儲存在裝置上,讓駭客有更多機會竊取密碼。此外,Microsoft 的許多身分識別和存取管理功能,例如條件式存取和多重要素驗證 (MFA),在 Office 365 這項舊版驗證中皆無法使用。

什麼是新式驗證？

新式驗證是結合不同的驗證和授權方法,用來存取 Microsoft Office 雲端資源。新式驗證以 Active Directory 驗證程式庫 (ADAL) 和 OAuth 2.0 為基礎。

• Active Directory Authentication Library 是一種驗證工具,可讓應用程式透過安全性權杖存取受保護的資源。透過 ADAL,使用者也能取得單一登入 (SSO),順暢地存取可供他們使用的 Office 365 資源。
• OAuth 2.0 是一種授權通訊協定,允許使用者透過用戶端應用程式使用存取權杖存取資源。此架構涉及存取權委派,因此不會將使用者認證分享給資源伺服器。

新式驗證架構為使用者從用戶端應用程式登入 Microsoft 365 資源時增添額外的安全性層級。此外,此架構可啟用多重要素驗證 (MFA),並使用 條件式存取 原則。

如何在 Office 365 中啟用新式驗證

對於在 2017 年 8 月之前建立的 Microsoft 租戶,有不同的方法可在 Office 365 中啟用新式驗證:

使用 Microsoft 365 系統管理中心

若要透過系統管理中心開啟 Office 365 中的新式驗證:

1. 登入 Microsoft 365 管理中心。
2. 在左側導覽窗格中,展開 Settings,然後按一下 Org settings。
3. 在 Services 下,選擇 Modern authentication。
4. 選取 Turn on modern authentication for Outlook 2013 for Windows and later (recommended) 核取方塊。
5. 按一下 Save。

使用 Exchange Online PowerShell

請依照下列步驟,使用 Exchange Online PowerShell 開啟新式驗證:

1. 連線至 Exchange Online PowerShell。
2. 針對 Outlook 2013 或更新版本的用戶端執行下列命令:
   Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
3. 使用此命令驗證變更是否成功,以及是否已啟用新式驗證:
   Get-OrganizationConfig | Format-Table Name,OAuth* -Auto

請注意,這不會阻止您使用基本驗證方法。不過,您可以執行下列命令,強制 Outlook 2013 或更新版本使用 O365 舊版驗證:
Set-OrganizationConfig -OAuth2ClientProfileEnabled $false

停用 Office 365 基本驗證

在 Office 365 中啟用新式驗證後,您現在可以停用基本驗證通訊協定。不過,您需要確認沒有使用者依賴這些通訊協定。請依照下列步驟,檢查是否有人正在使用基本驗證:

1. 開啟您的 Microsoft Azure 帳戶。
2. 前往 Azure Active Directory。

3. 在左側導覽窗格中選擇 Sign-in logs。
4. 將 Date range 變更為 Last 7 days 或更多。
5. 按一下 Add filters。
6. 選取 Client app,然後按一下 Apply。

7. 按一下新建立的篩選條件 Client app。
8. 勾選 Legacy Authentication Clients 下的所有方塊
9. 按一下 Apply。

此清單包含所有登入事件,以及對應的使用者和應用程式。停用基本驗證之前,您可以將所有這些應用程式移轉至新式驗證通訊協定,這樣就不會失去這些應用程式。

若要停用 O365 舊版驗證:

1. 存取 Microsoft 365 管理中心。
2. 在左側導覽窗格中,展開 Settings 並按一下 Org settings。
3. 在 Modern authentication 底下選擇 Services。
4. 取消選取 Allow access to basic authentication protocols 底下的所有核取方塊。
5. 按一下 Save。

Outlook 新式驗證

雖然最新版的 Outlook 預設支援新式驗證,但要在較舊的用戶端中新增此功能,則需要手動組態。不同版本的 Outlook 在啟用新式驗證方面有不同的需求:

• Outlook 2010 or earlier: 不支援新式驗證,您需要升級 Outlook 才能使用此功能。
• Outlook 2013: 新式驗證可用,但預設並未啟用;啟用後,您應強制 Outlook 使用新式驗證。
• Outlook 2016 or later + Outlook 365: 新式驗證可用且預設已啟用。

下表彙整各版本的需求:

Outlook 2013 中的新式驗證

如先前所述,Outlook 2013 支援新式驗證,但預設使用基本驗證。您可以手動啟用新式驗證。

若要這麼做,您需要在 Windows 登錄中新增下列機碼:。ߐ

設定這些機碼後,Microsoft 建議您再新增一個登錄機碼,強制 Outlook 2013 使用現代驗證,避免它改回基本驗證。您應使用的機碼如下:

Outlook 2016 或更新版本中的現代驗證

雖然 Outlook 2016 預設已啟用現代驗證,但建議您使用下方的登錄機碼強制啟用現代驗證:

Skype for Business 現代驗證

由於 2017 年 8 月 1 日之前建立的所有 Microsoft 租戶預設都關閉了現代驗證,因此您需要手動將其開啟。與 Outlook 一樣,您可以使用下列登錄機碼,在 Skype for Business 中啟用現代驗證:

結論

Microsoft 正在逐步淘汰 O365 舊版驗證,因為單純的一組憑證已無法確保所需的安全防護。幸好還有其他安全措施可供使用,因此建議在 Office 365 中啟用現代驗證。 啟用此功能後,您即可啟用多因素驗證 (MFA)、設定權限,並限制使用者對特定應用程式的存取權限。

話雖如此,採用第三方全方位備份解決方案,能為 Office 365 環境提供最佳保護。像 NAKIVO Backup & Replication 這樣的完整資料保護解決方案,包含您所需的所有工具,可保護貴組織中的 Microsoft 365 資料。

試試 NAKIVO Backup & Replication

立即申請免費試用,探索本解決方案的所有資料保護功能。15 天免費試用。無任何功能或容量限制。無需提供信用卡資訊。

免費試用