Microsoft schakelt volgende maand Basic Auth uit in Exchange Online

[Captain Kirk]

Nog een maand en dan zal Microsoft beginnen met het uitschakelen van Basic Authentication in Exchange Online, maar veel organisaties zijn hier nog niet op voorbereid. Het zal dan niet meer mogelijk zijn voor klanten om met een gebruikersnaam en wachtwoord via protocollen zoals POP en IMAP op hun mailaccounts in te loggen. Volgens Microsoft is Basic Authentication, waarbij er wordt ingelogd met alleen een gebruikersnaam en wachtwoord, een verouderde industriestandaard die kwetsbaar is voor aanvallen.

Vanaf 1 oktober zal Microsoft willekeurig klanten kiezen waarbij het Basic Auth voor MAPI, RPC, Offline Address Book (OAB), Exchange Web Services (EWS), POP, IMAP, Exchange ActiveSync (EAS) en Remote PowerShell uitzet. Klanten worden hier zeven dagen van tevoren over ingelicht en op de dag dat de aanpassing plaatsvindt. Microsoft claimt dat inmiddels miljoenen klanten geen gebruik meer van Basic Auth maken, maar de standaard nog altijd wel in gebruik is.

Veel klanten zijn daarnaast niet voorbereid op de komende aanpassing, gaat Microsoft verder. Het techbedrijf heeft de afgelopen jaren via blogpostings, tweets, presentaties, video's en andere manieren geprobeerd om klanten voor te bereiden. Toch zijn er volgens Microsoft nog steeds klanten die geen idee hebben dat Basic Auth wordt uitgeschakeld of dit wel weten, maar geen actie hebben ondernomen.

Het kan zeer grote gevolgen voor organisaties hebben als personeel niet meer kan e-mailen. Daarom biedt Microsoft een optie waarbij klanten Basic Auth via een diagnostische tool weer zelf kunnen inschakelen. Basic Auth blijft dan tot eind december van dit jaar werken. In de eerste week van 2023 wordt de standaard permanent uitgeschakeld en is het gebruik van Basic Auth niet meer mogelijk.

 

bron: https://www.security.nl