Mots de passe et sécurité dans Outlook pour iOS et Android pour Exchange Server

Cet article décrit le fonctionnement des mots de passe et de la sécurité dans Outlook pour iOS et Android avec Exchange Server lors de l’utilisation de l’authentification de base avec le protocole Exchange ActiveSync.

Création d’un compte et protection des mots de passe

La première fois que vous exécutez l’application Outlook pour iOS et Android dans un environnement local Exchange, Outlook génère une clé AES-128 aléatoire. Cette clé est appelée clé de périphérique et est stockée uniquement sur le périphérique de l’utilisateur.

Lorsqu’un utilisateur se connecte à Exchange avec l’authentification de base, le nom d’utilisateur, le mot de passe et une clé d’appareil AES-128 unique sont envoyés de l’appareil de l’utilisateur au service cloud Outlook via une connexion TLS, où la clé d’appareil est conservée dans la mémoire de calcul d’exécution. Après avoir vérifié le mot de passe avec le serveur Exchange, l’architecture basée sur Microsoft 365 ou Office 365 utilise la clé d’appareil pour chiffrer le mot de passe, et le mot de passe chiffré est ensuite stocké dans le service. La clé de l’appareil, quant à elle, est effacée de la mémoire et n’est jamais stockée dans l’architecture Basée sur Microsoft 365 ou Office 365 (la clé est stockée uniquement sur l’appareil de l’utilisateur).

Ensuite, lorsqu’un utilisateur tente de se connecter à Exchange pour récupérer des données de boîte aux lettres, la clé d’appareil est à nouveau transmise de l’appareil à l’architecture basée sur Microsoft 365 ou Office 365 via une connexion sécurisée TLS, où elle est utilisée pour déchiffrer le mot de passe dans la mémoire de calcul de l’exécution. Une fois déchiffré, le mot de passe n'est jamais stocké dans le service ni écrit sur un disque de stockage local, et la clé de périphérique est à nouveau effacée de la mémoire.

Une fois que l’architecture Basée sur Microsoft 365 ou Office 365 a déchiffré le mot de passe au moment de l’exécution, le service peut se connecter au serveur Exchange pour synchroniser les données de courrier, de calendrier et d’autres boîtes aux lettres. Tant que l’utilisateur continue à ouvrir et à utiliser Outlook régulièrement, l’architecture basée sur Microsoft 365 ou Office 365 conserve une copie du mot de passe déchiffré de l’utilisateur en mémoire pour maintenir la connexion au serveur Exchange active.

Considérations relatives à la conformité lors de l’envoi de mots de passe

Avant d’activer tout ce qui autorise la transmission de mots de passe à partir de votre environnement Exchange local, veillez à prendre en compte les conséquences possibles. Par exemple, la transmission de mots de passe à Microsoft 365 ou à l’architecture basée sur Office 365 peut entraîner votre incapacité à répondre aux exigences de PCI-DSS ou ISO/IEC 27001.

En outre, si vous vous connectez et synchronisez des e-mails, des calendriers et d’autres données liées à l’e-mail, vous pouvez rencontrer des problèmes de conformité avec le RGPD, ce qui limite les informations privées que vous pouvez transmettre sans le consentement du propriétaire. Ces informations peuvent être contenues dans les e-mails, les éléments de calendrier, etc.

Inactivité de compte et suppression des mots de passe de la mémoire

Après trois jours d’inactivité, l’architecture basée sur Microsoft 365 ou Office 365 vide un mot de passe déchiffré de la mémoire. Une fois le mot de passe déchiffré vidé, l’architecture ne peut pas accéder à la boîte aux lettres d’un utilisateur localement. Le mot de passe chiffré reste stocké dans l’architecture basée sur Microsoft 365 ou Office 365, mais son déchiffrement n’est pas possible sans la clé de l’appareil, qui est disponible uniquement à partir de l’appareil de l’utilisateur.

Un compte d'utilisateur peut devenir inactif pour les trois raisons suivantes :

• L'utilisateur désinstalle Outlook pour iOS et Android.

• L’actualisation de l’application en arrière-plan est désactivée dans les options Paramètres, puis une fermeture forcée est appliquée à Outlook.

• Aucune connexion Internet n'est disponible sur le périphérique, empêchant Outlook d'effectuer la synchronisation avec Exchange.

Vidage du mot de passe chiffré et des données de boîte aux lettres synchronisées à partir de Microsoft 365 ou Office 365

L’architecture basée sur Microsoft 365 ou Office 365 vide ou supprime les comptes inactifs selon une planification hebdomadaire. Une fois qu’un compte d’utilisateur devient inactif, l’architecture vide le mot de passe chiffré et tout le contenu de la boîte aux lettres synchronisée de l’utilisateur hors du service.

Combinaison de sécurité de service et de périphérique

La clé d’appareil unique de chaque utilisateur n’est jamais stockée dans l’architecture Basée sur Microsoft 365 ou Office 365, et le mot de passe Exchange d’un utilisateur n’est jamais stocké sur l’appareil. Cette architecture signifie que pour qu’une partie malveillante accède au mot de passe d’un utilisateur, elle a besoin à la fois d’un accès non autorisé à l’architecture Microsoft 365 ou basée sur Office 365 et d’un accès physique à l’appareil de cet utilisateur.

En appliquant des stratégies de code confidentiel et le chiffrement sur les appareils de votre organisation, la partie malveillante doit également vaincre le chiffrement d’un appareil pour accéder à la clé de l’appareil. Le tout devant être fait avant que l’utilisateur ne remarque que le périphérique a été compromis et ne demande une réinitialisation à distance du périphérique.

FAQ sur la sécurité des mots de passe

Vous trouverez ci-dessous des questions fréquemment posées sur la conception et les paramètres de sécurité pour Outlook pour iOS et Android lorsqu’il est utilisé avec l’authentification de base.

Les informations d’identification de l’utilisateur sont-elles stockées dans l’architecture Basée sur Microsoft 365 ou Office 365 si j’empêche Outlook d’accéder à mon Exchange Server ?

Si vous avez choisi d'empêcher Outlook pour iOS et Android d'accéder à vos serveurs Exchange locaux, la connexion initiale sera refusée par Exchange. Les informations d’identification de l’utilisateur ne sont pas stockées par le service cloud Outlook et les informations d’identification présentées dans la tentative de connexion ayant échoué sont immédiatement vidées de la mémoire.

Comment la clé d’appareil unique et le mot de passe utilisateur sont-ils chiffrés en transit vers l’architecture basée sur Microsoft 365 ou Office 365 ?

Toutes les communications entre l’application Outlook et l’architecture Basée sur Microsoft 365 ou Office 365 s’effectuent par le biais d’une connexion TLS chiffrée. L’application Outlook est capable de se connecter à l’architecture basée sur Microsoft 365 ou Office 365 et rien d’autre.

Comment faire supprimer les informations d’identification et les informations de boîte aux lettres d’un utilisateur de l’architecture Basée sur Microsoft 365 ou Office 365 ?

Demander à l’utilisateur de désinstaller Outlook pour iOS et Android sur tous les appareils. Toutes les données seront supprimées de l’architecture basée sur Microsoft 365 ou Office 365 dans environ 3 à 7 jours.

L’application est fermée ou désinstallée, mais elle s’affiche encore comme connectée à mon serveur Exchange. Que se passe-t-il ?

L’architecture basée sur Microsoft 365 ou Office 365 déchiffre les mots de passe utilisateur dans la mémoire de calcul du runtime, puis utilise les mots de passe déchiffrés pour se connecter à Exchange. Étant donné que l’architecture se connecte à Exchange pour le compte de l’appareil pour extraire et mettre en cache les données de boîte aux lettres, elle peut continuer pendant une courte période jusqu’à ce que le service détecte qu’Outlook ne demande plus de données.

Si un utilisateur désinstalle l’application de son appareil sans utiliser au préalable l’option Supprimer le compte, l’architecture basée sur Microsoft 365 ou Office 365 reste connectée à votre serveur Exchange jusqu’à ce que le compte devienne inactif, comme décrit ci-dessus dans « Inactivité du compte et vidage des mots de passe de la mémoire ». Pour arrêter cette activité, suivez l’option 1 ou l’option 3 de la FAQ ci-dessus, ou bloquez l’application, comme décrit dans Blocage d’Outlook pour iOS et Android.

Le mot de passe utilisateur est-il moins sécurisé dans Outlook pour iOS et Android que dans d’autres clients Exchange ActiveSync ?

Non. Les clients EAS enregistrent généralement les informations d'identification de l'utilisateur localement sur le périphérique de l'utilisateur. Cela signifie qu'un périphérique volé ou compromis risque de permettre à un groupe malveillant d'accéder au mot de passe de l'utilisateur. Avec la conception de sécurité d’Outlook pour iOS et Android, une partie malveillante aurait besoin d’un accès non autorisé à l’architecture basée sur Microsoft 365 ou Office 365 et disposerait d’un accès physique à l’appareil d’un utilisateur.

Que se passe-t-il si un utilisateur tente d’utiliser Outlook pour iOS et Android une fois que ses données ont été supprimées du service cloud Outlook ?

Si un compte d’utilisateur devient inactif (par exemple, en désactivant l’actualisation de l’application en arrière-plan sur l’appareil ou en faisant déconnecter son appareil d’Internet pendant un certain temps), l’application Outlook se reconnectera à l’architecture Basée sur Microsoft 365 ou Office 365 la prochaine fois que l’application sera lancée, et le processus de chiffrement de mot de passe et de mise en cache des e-mails redémarrera. Ce processus est transparent pour l'utilisateur.

Existe-t-il un moyen d’empêcher l’utilisation de l’authentification de base pour les boîtes aux lettres locales avec Outlook pour iOS et Android ?

Oui, vous pouvez déployer l’authentification moderne hybride. Pour plus d’informations, consultez Utilisation de l’authentification moderne hybride avec Outlook pour iOS et Android.