Palavras-passe e segurança no Outlook para iOS e Android para Exchange Server

APLICA-SE A:2016 2019 Subscription Edition

Este artigo descreve como funcionam as palavras-passe e a segurança no Outlook para iOS e Android com Exchange Server ao utilizar a autenticação Básica com o protocolo Exchange ActiveSync.

Importante

O Outlook para iOS e Android suporta a Autenticação Moderna híbrida para caixas de correio no local, o que elimina a necessidade de tirar partido da autenticação básica. As informações contidas neste artigo referem-se apenas à autenticação básica. Para obter mais informações, consulte Utilizar a Autenticação Moderna Híbrida com o Outlook para iOS e Android.

Criar uma conta e proteger palavras-passe

A primeira vez que a aplicação Outlook para iOS e Android é executada num ambiente do Exchange no local, o Outlook gera uma chave AES-128 aleatória. Esta chave é conhecida como a chave do dispositivo e é armazenada apenas no dispositivo do utilizador.

Quando um utilizador inicia sessão no Exchange com autenticação Básica, o nome de utilizador, a palavra-passe e uma chave de dispositivo AES-128 exclusiva são enviadas do dispositivo do utilizador para o serviço cloud do Outlook através de uma ligação TLS, onde a chave do dispositivo é mantida na memória de computação de runtime. Depois de verificar a palavra-passe com o servidor Exchange, a arquitetura baseada no Microsoft 365 ou Office 365 utiliza a chave do dispositivo para encriptar a palavra-passe e, em seguida, a palavra-passe encriptada é armazenada no serviço. A chave de dispositivo, entretanto, é apagada da memória e nunca armazenada na arquitetura baseada no Microsoft 365 ou Office 365 (a chave só é armazenada no dispositivo do utilizador).

Em seguida, quando um utilizador tenta ligar-se ao Exchange para obter dados de caixa de correio, a chave do dispositivo é novamente transmitida do dispositivo para a arquitetura baseada no Microsoft 365 ou Office 365 através de uma ligação protegida por TLS, onde é utilizada para desencriptar a palavra-passe na memória de computação em tempo de execução. Depois de desencriptado, a palavra-passe nunca é armazenada no serviço ou escrita num disco de armazenamento local e a chave do dispositivo é novamente apagada da memória.

Depois de a arquitetura baseada no Microsoft 365 ou Office 365 ter desencriptado a palavra-passe no runtime, o serviço pode ligar-se ao servidor Exchange para sincronizar o correio, o calendário e outros dados da caixa de correio. Enquanto o utilizador continuar a abrir e utilizar o Outlook periodicamente, a arquitetura baseada no Microsoft 365 ou Office 365 manterá uma cópia da palavra-passe desencriptada do utilizador na memória para manter ativa a ligação ao servidor Exchange.

Considerações de conformidade ao enviar palavras-passe

Antes de ativar tudo o que permita a transmissão de palavras-passe do seu ambiente do Exchange no local, certifique-se de que considera as possíveis ramificações. Por exemplo, transmitir palavras-passe para o Microsoft 365 ou arquitetura baseada em Office 365 pode resultar na sua incapacidade de cumprir os requisitos do PCI-DSS ou ISO/IEC 27001.

Além disso, se ligar e sincronizar e-mail, calendários e outros dados relacionados com o e-mail, poderá deparar-se com problemas de conformidade com o RGPD, o que restringe as informações privadas que pode transmitir sem o consentimento do proprietário. Estas informações podem estar contidas e encontradas em e-mails, itens de calendário, etc.

Inatividade da conta e remover palavras-passe da memória

Após três dias de inatividade, a arquitetura baseada no Microsoft 365 ou Office 365 removerá uma palavra-passe desencriptada da memória. Com a palavra-passe desencriptada removida, a arquitetura não consegue aceder à caixa de correio de um utilizador no local. A palavra-passe encriptada permanece armazenada na arquitetura baseada no Microsoft 365 ou Office 365, mas desencriptar novamente não é possível sem a chave do dispositivo, que só está disponível a partir do dispositivo do utilizador.

Existem três formas de uma conta de utilizador ficar inativa:

• O Outlook para iOS e Android é desinstalado pelo utilizador.

• A atualização da aplicação em segundo plano está desativada nas opções definições e, em seguida, é aplicada uma saída forçada ao Outlook.

• Não existe nenhuma ligação à Internet disponível no dispositivo, impedindo o Outlook de sincronizar com o Exchange.

Observação

O Outlook não ficará inativo simplesmente porque o utilizador não abre a aplicação durante algum tempo, como durante um fim de semana ou durante as férias. Desde que a atualização em segundo plano da aplicação esteja ativada (que é a predefinição do Outlook para iOS e Android), as funções como as notificações push e a sincronização em segundo plano do e-mail contarão como atividade.

Remover a palavra-passe encriptada e os dados sincronizados da caixa de correio do Microsoft 365 ou Office 365

A arquitetura baseada no Microsoft 365 ou Office 365 remove ou elimina contas inativas com base numa agenda semanal. Depois de uma conta de utilizador ficar inativa, a arquitetura removerá a palavra-passe encriptada e todo o conteúdo sincronizado da caixa de correio do utilizador do serviço.

Combinação de segurança de dispositivos e serviços

A chave de dispositivo exclusiva de cada utilizador nunca é armazenada na arquitetura baseada no Microsoft 365 ou Office 365 e a palavra-passe do Exchange de um utilizador nunca é armazenada no dispositivo. Esta arquitetura significa que, para que uma parte maliciosa obtenha acesso à palavra-passe de um utilizador, precisará de acesso não autorizado à arquitetura baseada no Microsoft 365 ou Office 365 e acesso físico ao dispositivo desse utilizador.

Ao impor políticas de PIN e encriptação em dispositivos na sua organização, a parte maliciosa também teria de derrotar a encriptação de um dispositivo para obter acesso à chave do dispositivo. Tudo isto teria de ocorrer antes de o utilizador ter reparado que o dispositivo estava comprometido e poder pedir uma eliminação remota do dispositivo.

FAQ sobre segurança de palavras-passe

Seguem-se perguntas mais frequentes sobre a estrutura de segurança e as definições do Outlook para iOS e Android quando utilizadas com a autenticação Básica.

As credenciais de utilizador são armazenadas na arquitetura baseada no Microsoft 365 ou Office 365 se bloquear o acesso do Outlook ao meu Exchange Server?

Se tiver optado por bloquear o acesso do Outlook para iOS e Android aos seus servidores exchange no local, a ligação inicial será rejeitada pelo Exchange. As credenciais de utilizador não serão armazenadas pelo serviço cloud do Outlook e as credenciais apresentadas na tentativa de ligação falhada são imediatamente removidas da memória.

Como é que a chave de dispositivo e a palavra-passe de utilizador exclusivas são encriptadas em trânsito para a arquitetura baseada no Microsoft 365 ou Office 365?

Toda a comunicação entre a aplicação Outlook e a arquitetura baseada no Microsoft 365 ou Office 365 é através de uma ligação TLS encriptada. A aplicação Outlook é capaz de se ligar à arquitetura baseada no Microsoft 365 ou Office 365 e nada mais.

Como fazer remover as credenciais e as informações da caixa de correio de um utilizador da arquitetura baseada no Microsoft 365 ou Office 365?

Peça ao utilizador para desinstalar o Outlook para iOS e Android em todos os dispositivos. Todos os dados serão removidos da arquitetura baseada no Microsoft 365 ou Office 365 dentro de aproximadamente 3 a 7 dias.

A aplicação está fechada ou desinstalada, mas continuo a vê-la a ligar ao meu servidor Exchange. Como é que isto está a acontecer?

A arquitetura baseada no Microsoft 365 ou Office 365 desencripta as palavras-passe de utilizador na memória de computação de runtime e, em seguida, utiliza as palavras-passe desencriptadas para ligar ao Exchange. Uma vez que a arquitetura está a ligar-se ao Exchange em nome do dispositivo para obter e colocar os dados da caixa de correio em cache, pode continuar por um curto período até que o serviço detete que o Outlook já não está a pedir dados.

Se um utilizador desinstalar a aplicação do respetivo dispositivo sem utilizar primeiro a opção Eliminar Conta, a arquitetura baseada no Microsoft 365 ou Office 365 permanecerá ligada ao servidor Exchange até que a conta fique inativa, conforme descrito acima em "Inatividade da conta e remoção de palavras-passe da memória". Para parar esta atividade, siga a Opção 1 ou a Opção 3 nas FAQ acima ou bloqueie a aplicação, conforme descrito em Bloquear o Outlook para iOS e Android.

Uma palavra-passe de utilizador é menos segura no Outlook para iOS e Android do que quando utiliza outros clientes Exchange ActiveSync?

Não. Geralmente, os clientes EAS guardam as credenciais de utilizador localmente no dispositivo do utilizador. Isto significa que um dispositivo roubado ou comprometido pode resultar numa parte maliciosa a obter acesso à palavra-passe do utilizador. Com a estrutura de segurança do Outlook para iOS e Android, uma parte maliciosa precisaria de acesso não autorizado à arquitetura baseada no Microsoft 365 ou Office 365 e teria acesso físico ao dispositivo de um utilizador.

O que acontece se um utilizador tentar utilizar o Outlook para iOS e Android depois de os dados terem sido eliminados do serviço cloud do Outlook?

Se uma conta de utilizador ficar inativa (por exemplo, ao desativar a atualização da aplicação em segundo plano no dispositivo ou ao desligar o dispositivo da Internet durante algum tempo), a aplicação Outlook voltará a ligar-se à arquitetura baseada no Microsoft 365 ou Office 365 da próxima vez que a aplicação for iniciada e o processo de encriptação de palavra-passe e colocação em cache de e-mail será reiniciado. Tudo isto é transparente para o utilizador.

Existe alguma forma de impedir a utilização da autenticação Básica para caixas de correio no local com o Outlook para iOS e Android?

Sim, pode implementar a Autenticação Moderna híbrida. Para obter mais informações, consulte Utilizar a Autenticação Moderna Híbrida com o Outlook para iOS e Android.