Información de referencia técnica sobre el cifrado

Descripción del servicio de Microsoft Purview

Consulte este artículo para obtener información sobre los certificados, las tecnologías y los conjuntos de cifrado TLS que se usan para el cifrado en Microsoft 365. En este artículo también se proporcionan detalles sobre los desusos planificados.

Propiedad y administración de certificados de Microsoft Office 365

No es necesario comprar ni mantener certificados para Office 365. En su lugar, Office 365 usa sus propios certificados.

Estándares de cifrado actuales y desusos previstos

Para proporcionar un cifrado de primera clase, Office 365 revisa periódicamente los estándares de cifrado admitidos. A veces, los estándares antiguos quedan en desuso a medida que quedan obsoletos y son menos seguros. En este artículo se describen los conjuntos de cifrado admitidos actualmente y otros estándares, así como detalles sobre los desusos planeados.

Cumplimiento de FIPS para Microsoft 365

Todos los conjuntos de cifrado compatibles con Office 365 usan algoritmos aceptables en FIPS 140-2. Office 365 hereda validaciones de FIPS de Windows (a través de Schannel). Para obtener información sobre Schannel, consulte Conjuntos de cifrado en TLS/SSL (Schannel SSP).

Compatibilidad de AES256-CBC para Microsoft 365

A finales de agosto de 2023, Microsoft Purview Information Protection comenzará a usar Advanced Encryption Standard (AES) con una longitud de clave de 256 bits en modo de encadenamiento de bloques de cifrado (AES256-CBC). En octubre de 2023, AES256-CBC será el valor predeterminado para el cifrado de documentos y correos electrónicos de las Aplicaciones Microsoft 365. Es posible que deba tomar medidas para apoyar este cambio en su organización.

¿Quién se ve afectado y qué debo hacer?

Use esta tabla para averiguar si tiene que tomar medidas:

Aplicaciones cliente Aplicaciones de servicio ¿Acción requerida? ¿Qué tengo que hacer?
Aplicaciones de Microsoft 365 Exchange Online, SharePoint Online No N/D
Office 2013, 2016, 2019 o 2021 Exchange Online, SharePoint Online Sí (opcional) Consulte Configurar Office 2013, 2016, 2019 o 2021 para el modo AES256-CBC.
Aplicaciones de Microsoft 365 Exchange Server o híbrido Sí (obligatorio) Consulte Configuración de Exchange Server para la compatibilidad con AES256-CBC.
Office 2013, 2016, 2019 o 2021 Exchange Server o híbrido Sí (obligatorio) Complete la opción 1 (obligatorio) y, a continuación, consulte Configurar Office 2013, 2016, 2019 o 2021 para el modo AES256-CBC.
Aplicaciones de Microsoft 365 MIP SDK Sí (opcional) Consulte Configuración del SDK de MIP para la compatibilidad con AES256-CBC.
Cualquiera SharePoint Server No N/D

Configurar Office 2013, 2016, 2019 o 2021 para el modo AES256-CBC

Debe configurar Office 2013, 2016, 2019 o 2021 para usar el modo AES256-CBC mediante la directiva de grupo o mediante el servicio de directivas en la nube para Microsoft 365. A partir de la versión 16.0.16227 de las Aplicaciones Microsoft 365, el modo CBC se usa de forma predeterminada. Use la configuración de .Encryption mode for Information Rights Management (IRM)User Configuration/Administrative Templates/Microsoft Office 2016/Security Settings

Por ejemplo, para forzar el modo CBC, seleccione la configuración de directiva de grupo de la siguiente manera:

Modo de cifrado para Information Rights Management (IRM): [1, Encadenamiento de bloques de cifrado (CBC)]

Configurar Exchange Server para la compatibilidad con AES256-CBC

Exchange Server no admite el descifrado de contenido que usa AES256-CBC. Para evitar este problema, tiene dos opciones.

Opción 1

Los clientes que usen Exchange Online con el servicio de conector de Azure Rights Management implementado no podrán participar en el cambio de publicación AES256-CBC tanto en Exchange Online como en SharePoint Online.

Para pasar al modo AES256-CBC, complete estos pasos:

  1. Instale la revisión en sus servidores de Exchange cuando esté disponible. Para obtener la información más reciente sobre las fechas de envío, consulte la hoja de ruta del producto Microsoft 365.

  2. Si usa Exchange Server con el servicio Azure Rights Management Connector, deberá ejecutar el script de GenConnectorConfig.ps1 en cada servidor de Exchange. Para obtener más información, consulte Configuración de servidores para el conector de Rights Management.

Una vez que la organización haya instalado el parche en todos los servidores de Exchange, abra un caso de soporte técnico y solicite que estos servicios se habiliten para la publicación AES256-CBC.

Opción 2

Esta opción le da algo de tiempo adicional antes de necesitar aplicar revisiones a todos los servidores de Exchange. Use esta opción si no puede completar los pasos de la opción 1 cuando la revisión esté disponible. En su lugar, implemente una directiva de grupo o una configuración de cliente que obligue a los clientes de Microsoft 365 a seguir usando el modo AES128-ECB. Implemente esta configuración mediante la directiva de grupo o mediante el servicio de directivas en la nube para Microsoft 365. Puede configurar Office y las Aplicaciones Microsoft 365 para Windows para que usen el modo ECB o CBC con la Encryption mode for Information Rights Management (IRM) configuración en User Configuration/Administrative Templates/Microsoft Office 2016/Security Settings. A partir de la versión 16.0.16327 de las Aplicaciones Microsoft 365, el modo CBC se usa de forma predeterminada.

Por ejemplo, para forzar el modo EBC para los clientes Windows, establezca la configuración de directiva de grupo de la siguiente manera:

Modo de cifrado para Information Rights Management (IRM): [2, Libro de códigos electrónico (ECB)]

Para configurar las opciones de los clientes de Office para Mac, consulte Establecer las preferencias de todo el conjunto de aplicaciones para Office para Mac.

Tan pronto como pueda, complete los pasos de la opción 1.

Configurar el SDK de MIP para la compatibilidad con AES256-CBC

Actualice a MIP SDK 1.13 o posterior. Si decide actualizar al SDK de MIP 1.13, tendrá que configurar una opción para forzar AES256-CBC. Para obtener más información, vea la actualización crítica de la versión 1.13.158 del SDK de MIP. Las versiones posteriores del SDK de MIP protegerán los archivos de Microsoft 365 y el correo electrónico con AES256-CBC de forma predeterminada.

Versiones de TLS compatibles con Microsoft 365

TLS y SSL que vinieron antes de TLS son protocolos criptográficos que protegen la comunicación a través de una red mediante certificados de seguridad para cifrar una conexión entre equipos. Todos los Microsoft 365 admiten TLS versión 1.2 (TLS 1.2). La compatibilidad con TLS versión 1.3 (TLS 1.3) se está implementando en todo el servicio mediante diversas aplicaciones y servicios. Exchange Online ahora es compatible con TLS 1.3 para todos los envíos de correo electrónico y las comunicaciones del servidor con terceros a través de Internet para clientes de todo el mundo. No hay una escala de tiempo para TLS 1.3 para Exchange Online operado por 21Vianet.

Importante

Tenga en cuenta que las versiones de TLS están obsoletas y que las versiones en desuso no deben usarse cuando haya versiones más recientes disponibles. Si los servicios heredados no requieren TLS 1.0 o 1.1, debe deshabilitarlos.

Avisos de desuso

  • Conjuntos de cifrado: revisamos constantemente nuestra lista de conjuntos de cifrado admitidos. Hemos dejado de admitir la autenticación débil de mensajes SHA1 y el algoritmo de intercambio de claves RSA sin secreto de reenvío en el pasado. La lista actual de cifrados admitidos se puede ver aquí: Conjuntos de cifrado TLS admitidos por Microsoft 365.
  • Versiones de TLS 1.0 y TLS 1.1: el soporte para estas versiones de TLS finalizó el 31 de octubre de 2018 y se completaron desde 2022. Todas las conexiones con Microsoft 365 ahora usan al menos TLS 1.2 para comunicarse. Una excepción es el protocolo de envío de cliente autenticación SMTP de Exchange Online, que ofrece un punto de conexión opcional para clientes con dispositivos heredados que todavía necesitan TLS 1.0 o TLS 1.1.
  • Algoritmo 3DES: el soporte para este algoritmo de cifrado finalizó el 31 de octubre de 2018. Microsoft 365 quitó el conjunto de cifrado usándolo, TLS_RSA_WITH_3DES_EDE_CBC_SHA conjunto de cifrado, del servicio del 28 de febrero de 2019. Para obtener una lista de los cifrados admitidos, consulte Conjuntos de cifrado TLS admitidos por Microsoft 365.
  • Certificados SHA-1: la compatibilidad en Microsoft 365 para las comunicaciones en las que el otro tercero proporciona certificados SHA-1 finalizó en junio de 2016. Ahora se necesitan algoritmos hash SHA-2 (algoritmo hash seguro 2) o más fuertes en la cadena de certificados.

Conjuntos de cifrado TLS admitidos por Microsoft 365

TLS usa conjuntos de cifrado, colecciones de algoritmos de cifrado, para establecer conexiones seguras. Microsoft 365 admite los conjuntos de cifrado enumerados en la tabla siguiente. En la tabla se enumeran los conjuntos de cifrado en orden de fuerza, con el conjunto de cifrado más fuerte en primer lugar.

Microsoft 365 responde a una solicitud de conexión intentando primero conectarse mediante el conjunto de cifrado más seguro. Si la conexión no funciona, Microsoft 365 intenta el segundo conjunto de cifrado más seguro de la lista, y así sucesivamente. El servicio continúa bajando en la lista hasta que se acepta la conexión. Del mismo modo, cuando Microsoft 365 solicita una conexión, el servicio receptor elige si quiere usar TLS y qué conjunto de cifrado usar.

Nombre del conjunto de cifrado Versión del protocolo TLS
TLS_AES_256_GCM_SHA384 1.3
TLS_AES_128_GCM_SHA256 1.3
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 1.2
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 1.2

[! Nota] Los conjuntos de cifrado TLS heredados pueden aparecer en los exámenes de seguridad externos de los puntos de conexión de Exchange Online debido a los requisitos de compatibilidad para el protocolo de envío de cliente de autenticación SMTP heredado. Estos conjuntos de cifrado se conservan para escenarios específicos de TLS heredada de participación y no se usan para conexiones SMTP estándar, que negocian la versión TLS más segura con soporte mutuo y el conjunto de cifrado.

Conjuntos de cifrado en TLS/SSL (Schannel SSP)

Cifrado en Office 365

Preparar TLS 1.2 en Office 365 y CCO de Office 365

  • Darrera actualització el