Passwords and Security in Outlook for iOS and Android for Exchange Server

Exchange 2013
 

Применимо к:Exchange Server 2010, Exchange Server 2013

Последнее изменение раздела:2016-12-09

Сводка. В этой статье описано, как работают пароли и защита в Outlook для iOS и Android с Exchange Server.

При первом запуске в локальной среде Exchange приложение Outlook для iOS и Android создает случайный ключ AES-128. Этот ключ известен как ключ устройства и хранится только на устройстве пользователя.

Когда пользователь входит в Exchange, имя пользователя, пароль и уникальный ключ устройства AES-128 отправляются с этого устройства в службу Outlook с помощью TLS-соединения. При этом ключ устройства хранится в вычислительной памяти среды выполнения. После проверки пароля на сервере Exchange Server служба Outlook использует ключ устройства для шифрования пароля, который затем сохраняется в службе. Ключ устройства удаляется из памяти и не сохраняется в службе Outlook (ключ хранится только на устройстве пользователя).

Когда пользователь подключается к Exchange для получения данных почтового ящика, ключ устройства снова передается с устройства в службу Outlook с помощью защищенного TLS-соединения, где он используется для расшифровки пароля в вычислительной памяти среды выполнения. После расшифровки пароль не сохраняется в службе и не записывается на локальный диск, а ключ устройства снова удаляется из памяти.

После расшифровки пароля в среде выполнения служба Outlook может подключаться к серверу Exchange Server для синхронизации почты, календаря и других данных почтового ящика. Если пользователь продолжает периодически открывать и использовать Outlook, служба будет хранить копию расшифрованного пароля пользователя в памяти, чтобы не разрывать соединение с сервером Exchange Server.

После трех дней бездействия служба Outlook удалит расшифрованный пароль из памяти. После удаления расшифрованного пароля служба Outlook не сможет получить доступ к почтовому ящику пользователя. Зашифрованный пароль остается в службе Outlook, но его нельзя расшифровать без ключа устройства, который хранится только на устройстве пользователя.

Учетная запись пользователя может стать неактивной только в трех случаях:

  • если пользователь удалит программу Outlook для iOS и Android;

  • если в настройках Outlook отключено обновление в фоновом режиме, а затем выполнено принудительное завершение работы программы;

  • если устройство не подключено к Интернету и синхронизация Outlook с Exchange невозможна.

ПримечаниеПримечание.
Учетная запись Outlook не станет неактивной, просто потому что пользователь некоторое время не открывает приложение, например во время выходных или отпуска. Если включено обновление приложения в фоновом режиме (это настройка Outlook для iOS и Android по умолчанию), обмен push-уведомлениями и фоновая синхронизация электронной почты будут считаться активностью.

Удаление зашифрованного пароля и кэша сообщений с жесткого диска

Служба Outlook еженедельно удаляет неактивные учетные записи. Когда учетная запись пользователя станет неактивной, служба Outlook удалит зашифрованный пароль и кэшированное содержимое почтового ящика пользователя.

Сочетание защиты устройства и службы

Уникальный ключ устройства пользователя не сохраняется в службе Outlook, а пароль пользователя Exchange не сохраняется на устройстве. Благодаря такой архитектуре, чтобы получить доступ к паролю пользователя, злоумышленнику понадобится получить несанкционированный доступ к службе Outlook и физический доступ к устройству пользователя.

Если в вашей организации применяются политики защиты с помощью ПИН-кода и шифрование устройств, злоумышленнику также придется взломать шифрование, только чтобы получить доступ к ключу устройства. Это все необходимо сделать до того, как пользователь заметит, что устройство взломано, и запросит его удаленную очистку.

Ниже приведены часто задаваемые вопросы о структуре и параметрах безопасности Outlook для iOS и Android.

Если вы заблокируете доступ Outlook для iOS и Android к вашим локальным серверам Exchange Server, начальное подключение будет отклонено Exchange. Служба Outlook не будет сохранять учетные данные пользователя, а учетные данные, использованные при неудачной попытке подключения, будут немедленно удалены из памяти.

Для обмена данными между приложением Outlook и службой Outlook используется зашифрованное TLS-соединение. Outlook для iOS и Android может связываться исключительно со службой Outlook.

Удалить информацию из службы Outlook можно тремя способами.

  • Способ 1. Запустите удаленную очистку для каждого пользователя, который использовал приложение для подключения к Exchange.

  • Способ 2. Попросите всех пользователей удалить приложение Outlook для iOS и Android. Все данные будут удалены из службы Outlook приблизительно через 3–7 дней.

  • Способ 3. Попросите пользователей удалить их учетные записи из приложения Outlook, а затем удалить приложение со своих устройств. В приложении Outlook перейдите в меню Настройки, нажмите Настройки учетной записи > Выбрать учетную запись > Удалить учетную запись.

Служба Outlook расшифровывает пароли в вычислительной памяти среды выполнения, а затем использует расшифрованные пароли для подключения к Exchange. Так как служба Outlook подключается к Exchange для извлечения и кэширования данных почтового ящика от имени устройства, это может продолжаться некоторое время, пока служба не обнаружит, что Outlook больше не запрашивает данные.

Если пользователь удалит приложение со своего устройства, не воспользовавшись параметром Удалить учетную запись, служба Outlook останется подключенной к серверу Exchange Server, пока учетная запись не станет неактивной, как описано выше в разделе "Отсутствие активности учетной записи и удаление паролей из памяти". Чтобы остановить эту активность, просто воспользуйтесь способом 1 или 3 из раздела "Вопросы и ответы" выше или заблокируйте приложение, как описано в статье Блокировка Outlook для iOS и Android.

Нет. Обычно клиенты EAS хранят учетные данные пользователя локально на его устройстве. Таким образом, если устройство украдено или взломано, злоумышленник может получить доступ к паролю пользователя. Благодаря структуре безопасности Outlook для iOS и Android злоумышленнику потребуется получить несанкционированный доступ к облачной службе Outlook и физический доступ к устройству пользователя.

Если учетная запись пользователя станет неактивной (например, если отключено обновление приложения в фоновом режиме или устройство длительное время находится офлайн), приложение Outlook подключится к службе Outlook при следующем запуске, и процесс шифрования пароля и кэширования электронной почты начнется заново. Все эти процессы видны пользователю.

Сведения о том, как данные защищены в настоящее время, можно найти в Центре безопасности Amazon AWS. Как упоминалось ранее, мы переносим службу из AWS в Office 365. Сведения о безопасности Office 365 можно найти в Центре управления безопасностью Office 365.

 
Показ: