Contraseñas y seguridad en Outlook para iOS y Android para Exchange Server
En este artículo se describe cómo funcionan las contraseñas y la seguridad en Outlook para iOS y Android con Exchange Server al usar la autenticación básica con el protocolo Exchange ActiveSync.
Importante
Outlook para iOS y Android admite la autenticación moderna híbrida para buzones locales, lo que elimina la necesidad de aprovechar la autenticación básica. La información contenida en este artículo solo pertenece a la autenticación básica. Para obtener más información, consulte Uso de la autenticación moderna híbrida con Outlook para iOS y Android.
Crear una cuenta y proteger contraseñas
La primera vez que la aplicación Outlook para iOS y Android se ejecuta en un entorno de Exchange local, Outlook genera una clave AES-128 aleatoria. Esta clave se conoce como la clave de dispositivo y solo se almacena en el dispositivo del usuario.
Cuando un usuario inicia sesión en Exchange con autenticación básica, el nombre de usuario, la contraseña y una clave de dispositivo AES-128 única se envían desde el dispositivo del usuario al servicio en la nube de Outlook a través de una conexión TLS, donde la clave de dispositivo se mantiene en la memoria de proceso en tiempo de ejecución. Después de comprobar la contraseña con el servidor exchange, la arquitectura basada en Microsoft 365 o Office 365 usa la clave de dispositivo para cifrar la contraseña y, a continuación, la contraseña cifrada se almacena en el servicio. Mientras tanto, la clave del dispositivo se borra de la memoria y nunca se almacena en la arquitectura basada en Microsoft 365 o Office 365 (la clave solo se almacena en el dispositivo del usuario).
A continuación, cuando un usuario intenta conectarse a Exchange para recuperar datos de buzón de correo, la clave de dispositivo se pasa de nuevo desde el dispositivo a Microsoft 365 o a la arquitectura basada en Office 365 a través de una conexión protegida por TLS, donde se usa para descifrar la contraseña en la memoria de proceso en tiempo de ejecución. Una vez descifrada, la contraseña nunca se almacena en el servicio ni se escribe en un disco de almacenamiento local, y la clave de dispositivo se elimina de nuevo de la memoria.
Una vez que la arquitectura basada en Microsoft 365 o Office 365 ha descifrado la contraseña en tiempo de ejecución, el servicio puede conectarse al servidor exchange para sincronizar el correo, el calendario y otros datos del buzón. Siempre que el usuario siga abierto y usando Outlook periódicamente, la arquitectura basada en Microsoft 365 o Office 365 mantendrá una copia de la contraseña descifrada del usuario en la memoria para mantener activa la conexión con el servidor exchange.
Consideraciones de cumplimiento al enviar contraseñas
Antes de habilitar cualquier cosa que permita la transmisión de contraseñas desde el entorno de Exchange local, asegúrese de tener en cuenta las posibles ramificaciones. Por ejemplo, la transmisión de contraseñas a Microsoft 365 o a una arquitectura basada en Office 365 podría dar lugar a la incapacidad de cumplir los requisitos de PCI-DSS o ISO/IEC 27001.
Además, si conecta y sincroniza el correo electrónico, los calendarios y otros datos relacionados con el correo electrónico, es posible que tenga problemas de cumplimiento con el RGPD, lo que restringe la información privada que puede transmitir sin el consentimiento del propietario. Esta información podría estar contenida y encontrada en correos electrónicos, elementos de calendario, etc.
Inactividad de cuenta y vacío de contraseñas de la memoria
Después de tres días de inactividad, la arquitectura basada en Microsoft 365 o Office 365 vaciará una contraseña descifrada de la memoria. Con la contraseña descifrada vacía, la arquitectura no puede acceder al buzón de correo de un usuario local. La contraseña cifrada permanece almacenada en la arquitectura basada en Microsoft 365 o Office 365, pero descifrarla de nuevo no es posible sin la clave del dispositivo, que solo está disponible en el dispositivo del usuario.
Existen tres maneras en las que una cuenta de usuario puede volverse inactiva:
El usuario desinstala Outlook para iOS y Android.
La actualización de la aplicación en segundo plano está deshabilitada en las opciones de Configuración y, a continuación, se aplica un force-quit a Outlook.
Ninguna conexión de Internet está disponible en el dispositivo, evitando que Outlook se sincronice con Exchange.
Nota:
Outlook no se volverá inactivo simplemente porque el usuario no abre la aplicación durante algún tiempo, como durante un fin de semana o durante las vacaciones. Siempre que la actualización de la aplicación en segundo plano esté habilitada (que es la configuración predeterminada de Outlook para iOS y Android), las funciones como las notificaciones de inserción y la sincronización en segundo plano del correo electrónico contarán como actividad.
Vaciar datos cifrados de contraseña y buzón sincronizados de Microsoft 365 o Office 365
La arquitectura basada en Microsoft 365 o Office 365 vacía o elimina cuentas inactivas según una programación semanal. Una vez que una cuenta de usuario se vuelve inactiva, la arquitectura vaciará la contraseña cifrada y todo el contenido del buzón sincronizado del usuario fuera del servicio.
Combinación de seguridad de servicios y dispositivos
La clave de dispositivo única de cada usuario nunca se almacena en la arquitectura basada en Microsoft 365 o Office 365, y la contraseña de Exchange de un usuario nunca se almacena en el dispositivo. Esta arquitectura significa que para que una parte malintencionada obtenga acceso a la contraseña de un usuario, necesitaría acceso no autorizado a microsoft 365 o a la arquitectura basada en Office 365 y acceso físico al dispositivo de ese usuario.
Al aplicar directivas de PIN y cifrado en dispositivos de su organización, la parte malintencionada también tendría que derrotar el cifrado de un dispositivo para obtener acceso a la clave del dispositivo. Esto tendría que tener lugar antes de que el usuario observe que el dispositivo se ha puesto en peligro y pida una eliminación remota de este.
Preguntas más frecuentes de la seguridad de contraseñas
Las siguientes son las preguntas más frecuentes sobre el diseño de seguridad y la configuración de Outlook para iOS y Android cuando se usan con la autenticación básica.
¿Se almacenan las credenciales de usuario en la arquitectura basada en Microsoft 365 o Office 365 si impide que Outlook acceda a mi Exchange Server?
Si ha decidido bloquear el acceso de Outlook para iOS y Android a sus servidores de Exchange locales, Exchange rechazará la conexión inicial. El servicio en la nube de Outlook no almacenará las credenciales de usuario y las credenciales presentadas en el intento de conexión con errores se vaciarán inmediatamente de la memoria.
¿Cómo se cifran la clave de dispositivo única y la contraseña de usuario en tránsito a la arquitectura basada en Microsoft 365 o Office 365?
Toda la comunicación entre la aplicación de Outlook y la arquitectura basada en microsoft 365 o Office 365 se realiza a través de una conexión TLS cifrada. La aplicación outlook es capaz de conectarse con la arquitectura basada en Microsoft 365 o Office 365 y nada más.
Cómo quitar las credenciales de un usuario y la información del buzón de correo de la arquitectura basada en Microsoft 365 o Office 365?
Haga que el usuario desinstale Outlook para iOS y Android en todos los dispositivos. Todos los datos se quitarán de la arquitectura basada en Microsoft 365 o Office 365 en aproximadamente 3-7 días.
La aplicación se cierra o se desinstala, pero todavía la veo conectándose a mi servidor de Exchange. ¿Por qué ocurre esto?
La arquitectura basada en Microsoft 365 o Office 365 descifra las contraseñas de usuario en la memoria de proceso en tiempo de ejecución y, a continuación, usa las contraseñas descifradas para conectarse a Exchange. Dado que la arquitectura se conecta a Exchange en nombre del dispositivo para capturar y almacenar en caché los datos del buzón, puede continuar durante un breve período hasta que el servicio detecte que Outlook ya no solicita datos.
Si un usuario desinstala la aplicación de su dispositivo sin usar primero la opción Eliminar cuenta, la arquitectura basada en Microsoft 365 o Office 365 permanecerá conectada al servidor exchange hasta que la cuenta deje de estar inactiva, como se describió anteriormente en "Inactividad de la cuenta y vaciado de contraseñas de la memoria". Para detener esta actividad, siga la opción 1 o la opción 3 de las preguntas más frecuentes anteriores o bloquee la aplicación, como se describe en Bloqueo de Outlook para iOS y Android.
¿Es una contraseña de usuario menos segura en Outlook para iOS y Android que cuando se usan otros clientes de Exchange ActiveSync?
No. Los clientes de EAS normalmente guardan las credenciales de usuario localmente en el dispositivo del usuario. Esto significa que un dispositivo robado o en peligro puede provocar que una parte malintencionada tenga acceso a la contraseña del usuario. Con el diseño de seguridad de Outlook para iOS y Android, una persona malintencionada necesitaría acceso no autorizado a la arquitectura basada en Microsoft 365 o Office 365 y tener acceso físico al dispositivo de un usuario.
¿Qué ocurre si un usuario intenta usar Outlook para iOS y Android después de que sus datos se hayan eliminado del servicio en la nube de Outlook?
Si una cuenta de usuario se vuelve inactiva (por ejemplo, deshabilitando la actualización de la aplicación en segundo plano en el dispositivo o teniendo su dispositivo desconectado de Internet durante algún tiempo), la aplicación de Outlook se volverá a conectar a la arquitectura basada en Microsoft 365 o Office 365 la próxima vez que se inicie la aplicación y se reiniciará el proceso de almacenamiento en caché de correo electrónico y cifrado de contraseñas. Todo esto es transparente para el usuario.
¿Hay alguna manera de evitar el uso de la autenticación básica para buzones locales con Outlook para iOS y Android?
Sí, puede implementar la autenticación moderna híbrida. Para obtener más información, vea Uso de la autenticación moderna híbrida con Outlook para iOS y Android.