Exchange Server における Outlook for iOS と Outlook for Android のパスワードとセキュリティ
この記事では、Exchange ActiveSync プロトコルで基本認証を使用する場合に、outlook for iOS と Android と Exchange Server でのパスワードとセキュリティのしくみについて説明します。
重要
Outlook for iOS および Android では、オンプレミスメールボックスのハイブリッドモダン認証がサポートされており、基本認証を利用する必要がなくなります。 この記事に含まれる情報は、基本認証にのみ関連します。 詳細については、「 iOS および Android 用の Outlook でのハイブリッドモダン認証の使用」を参照してください。
アカウントの作成とパスワードの保護
iOS および Android 用の Outlook アプリを初めて Exchange のオンプレミス環境で実行すると、Outlook がランダムな AES-128 キーを生成します。 このキーは、デバイス キーと呼ばれ、ユーザーのデバイスにのみ格納されます。
ユーザーが基本認証を使用して Exchange にログオンすると、ユーザー名、パスワード、および一意の AES-128 デバイス キーが、ユーザーのデバイスから OUTLOOK クラウド サービスに TLS 接続経由で送信されます。ここで、デバイス キーはランタイム コンピューティング メモリに保持されます。 Exchange サーバーでパスワードを確認した後、Microsoft 365 または Office 365 ベースのアーキテクチャでは、デバイス キーを使用してパスワードを暗号化し、暗号化されたパスワードがサービスに格納されます。 一方、デバイス キーはメモリからワイプされ、Microsoft 365 または Office 365 ベースのアーキテクチャには格納されません (キーはユーザーのデバイスにのみ格納されます)。
次に、ユーザーが Exchange に接続してメールボックス データを取得しようとすると、デバイス キーが TLS で保護された接続経由でデバイスから Microsoft 365 または Office 365 ベースのアーキテクチャに再び渡されます。このアーキテクチャは、ランタイム コンピューティング メモリ内のパスワードの暗号化を解除するために使用されます。 暗号化を解除すると、パスワードはサービスに格納されたり、ローカル ストレージ ディスクに書き込まれたりすることはありません。また、デバイス キーはメモリから再度ワイプされます。
Microsoft 365 または Office 365 ベースのアーキテクチャが実行時にパスワードを復号化した後、サービスは Exchange サーバーに接続してメール、予定表、およびその他のメールボックス データを同期できます。 ユーザーが Outlook を定期的に開いて使用し続ける限り、Microsoft 365 または Office 365 ベースのアーキテクチャでは、Exchange サーバーへの接続をアクティブに保つために、ユーザーの暗号化解除されたパスワードのコピーがメモリ内に保持されます。
パスワードを送信するときのコンプライアンスに関する考慮事項
オンプレミスの Exchange 環境からのパスワードの転送を許可するものを有効にする前に、考えられる影響を考慮してください。 たとえば、Microsoft 365 または Office 365 ベースのアーキテクチャにパスワードを送信すると、PCI-DSS または ISO/IEC 27001 の要件を満たできなくなる可能性があります。
さらに、電子メール、予定表、およびその他の電子メール関連データを接続して同期すると、GDPR への準拠の問題が発生する可能性があります。これにより、所有者の同意なしに送信できる個人情報が制限される可能性があります。 この情報は、電子メール、予定表アイテムなど内に含まれている可能性があります。
アカウントの非アクティブ状態とメモリからのパスワードのフラッシュ
3 日間非アクティブになると、Microsoft 365 または Office 365 ベースのアーキテクチャでは、復号化されたパスワードがメモリからフラッシュされます。 暗号化解除されたパスワードがフラッシュされると、アーキテクチャはオンプレミスのユーザーのメールボックスにアクセスできません。 暗号化されたパスワードは、Microsoft 365 または Office 365 ベースのアーキテクチャに保存されたままですが、ユーザーのデバイスでのみ使用できるデバイス キーがないと、再度暗号化解除することはできません。
ユーザー アカウントは次の 3 つの場合に非アクティブになります。
iOS および Android 用の Outlook がユーザーによってアンインストールされる。
[設定] オプションでバックグラウンド アプリの更新が無効になり、Outlook に強制終了が適用されます。
デバイスにインターネット接続がないため、Outlook が Exchange と同期できない。
注:
ユーザーが週末や休暇中など、しばらくアプリを開かないため、Outlook は非アクティブになりません。 アプリのバックグラウンド更新が有効にされている限り (iOS および Android 用の Outlook の既定の設定)、プッシュ通知や電子メールのバックグラウンド同期などの機能はアクティビティの一部として認識されます。
Microsoft 365 または Office 365 から暗号化されたパスワードと同期されたメールボックス データをフラッシュする
Microsoft 365 または Office 365 ベースのアーキテクチャは、週単位のスケジュールで非アクティブなアカウントをフラッシュまたは削除します。 ユーザー アカウントが非アクティブになると、アーキテクチャでは、暗号化されたパスワードと、ユーザーの同期されたすべてのメールボックス コンテンツの両方がサービスからフラッシュされます。
デバイスとサービスのセキュリティの組み合わせ
各ユーザーの一意のデバイス キーは、Microsoft 365 または Office 365 ベースのアーキテクチャには保存されません。また、ユーザーの Exchange パスワードはデバイスに保存されません。 このアーキテクチャは、悪意のあるユーザーがユーザーのパスワードにアクセスするには、Microsoft 365 または Office 365 ベースのアーキテクチャへの不正アクセスと、そのユーザーのデバイスへの物理的なアクセスの両方が必要であることを意味します。
組織内のデバイスに PIN ポリシーと暗号化を適用することで、悪意のあるユーザーはデバイス キーにアクセスするためにデバイスの暗号化を破る必要もあります。 これらはすべて、デバイスが侵害されており、デバイスに対してリモート ワイプを要求できることにユーザーが気付く前に行われる必要があります。
パスワード セキュリティに関する FAQ
基本的な認証で使用する場合、Outlook for iOS と Android のセキュリティ設計と設定に関してよく寄せられる質問を次に示します。
Outlook が自分のExchange Serverにアクセスできないようにブロックした場合、ユーザー資格情報は Microsoft 365 または Office 365 ベースのアーキテクチャに格納されますか?
iOS および Android 用の Outlook がオンプレミスの Exchange サーバーにアクセスできないようにした場合、最初の接続は Exchange によって拒否されます。 ユーザーの資格情報は Outlook クラウド サービスには保存されず、失敗した接続の試行時に表示された資格情報はメモリからすぐにフラッシュされます。
Microsoft 365 または Office 365 ベースのアーキテクチャへの転送中に、一意のデバイス キーとユーザー パスワードはどのように暗号化されますか?
Outlook アプリと Microsoft 365 または Office 365 ベースのアーキテクチャ間のすべての通信は、暗号化された TLS 接続を介して行われます。 Outlook アプリは、Microsoft 365 または Office 365 ベースのアーキテクチャと接続でき、それ以外の機能はありません。
ユーザーの資格情報とメールボックス情報を Microsoft 365 または Office 365 ベースのアーキテクチャから削除操作方法
すべてのデバイスでユーザーに Outlook for iOS と Android をアンインストールさせます。 すべてのデータは、約 3 から 7 日間で Microsoft 365 または Office 365 ベースのアーキテクチャから削除されます。
アプリは閉じられたかアンインストールされているのに、Exchange サーバーに接続されているようです。 これが生じているのはなぜですか。
Microsoft 365 または Office 365 ベースのアーキテクチャでは、ランタイム コンピューティング メモリ内のユーザー パスワードの暗号化を解除した後、復号化されたパスワードを使用して Exchange に接続します。 アーキテクチャは、メールボックス データをフェッチしてキャッシュするためにデバイスの代わりに Exchange に接続しているため、Outlook がデータを要求しなくなったことがサービスによって検出されるまで、しばらく続けることができます。
ユーザーが最初に [アカウントの削除] オプションを使用せずにデバイスからアプリをアンインストールした場合、Microsoft 365 または Office 365 ベースのアーキテクチャは、アカウントが非アクティブになるまで Exchange サーバーに接続され続けます(前述の「アカウントの非アクティブ化とメモリからのパスワードのフラッシュ」)。このアクティビティを停止するには、上記の FAQ のオプション 1 またはオプション 3 に従うか、「iOS および Android 用の Outlook をブロックする」の説明に従ってアプリをブロックします。
ユーザー パスワードは、他の Exchange ActiveSync クライアントを使用する場合より、iOS および Android 用の Outlook で使用する方が安全性は低いですか。
その必要はありません。 EAS クライアントでは通常、ユーザーのデバイスでローカルにユーザーの資格情報が保存されます。 つまり、盗難または侵害されたデバイスを通して、悪意のある人物によってユーザーのパスワードにアクセスされる可能性があります。 Outlook for iOS と Android のセキュリティ設計により、悪意のあるユーザーは Microsoft 365 または Office 365 ベースのアーキテクチャへの不正アクセスを必要とし、ユーザーのデバイスに物理的にアクセスできます。
Outlook クラウド サービスからデータが削除された後に、ユーザーが iOS および Android 用の Outlook を使用しようとするとどうなりますか。
ユーザー アカウントが非アクティブになった場合 (デバイスでバックグラウンド アプリの更新を無効にしたり、デバイスをしばらくインターネットから切断したりするなど)、Outlook アプリは次回アプリが起動されるときに Microsoft 365 または Office 365 ベースのアーキテクチャに再接続し、パスワード暗号化と電子メール キャッシュ プロセスが再起動します。 これらはどれも、ユーザーには表示されません。
Outlook for iOS と Android を使用してオンプレミスメールボックスに基本認証を使用しないようにする方法はありますか?
はい。ハイブリッドモダン認証をデプロイできます。 詳細については、「Using hybrid Modern Authentication with Outlook for iOS and Android」を参照してください。