Ab 31. Oktober 2018 akzeptiert Office 365 ausschliesslich TLS-1.2-Verbindungen (Transport Layer Security). Goodbye, TLS 1.1 und 1.0 - mit Handlungsbedarf für IT-Leiter und IT-Engineers.
Office 365 rekonfiguriert Ende Oktober seine Empfangs-Connectoren. Als Folge sendet ein Office-365-User unter TLS 1.2 zwar weiterhin E-Mail an 365-User ohne 1.2 auf anderen Servern, empfängt von diesen jedoch keine E-Mail mehr. So möchte Microsoft Non-1.2-User zu mehr Sicherheit durch Migration auf 1.2 zwingen.
Ein einfacher Self Check finden Sie auf folgendem Link: https://www.checktls.com/
Update: 31.10.2018
Die TLS 1.1 und 1.0 werden ab dem 01.11.2018 nicht blockiert. Es gibt kein offizielles Datum der Deaktivierung seitens Microsoft. Weitere Informationen finden Sie auf folgender Microsoft Support Meldung
TLS 1.1 und 1.0: Zeitbomben jetzt entschärfen
1.0 und 1.1 als Microsoft-Implementierung erlebten vielleicht noch keine grössere Kompromittierung («Knacken»), doch möchte Microsoft zukunftssicher eine «Downgrade»-Attacke blockieren: Diese will die Nutzung einer veralteten Protokollversion mit bekannter Schwäche erzwingen.
Als IT-Verantwortlicher sichern Sie die fortgesetzte Zusammenarbeit, speziell Kommunikation, mit 365-Usern (Kunden, Partner, Behörden) also per Upgrade Ihrer Systeme auf 1.2. Allgemein erzwingt maximale IT-Sicherheit ohnehin den stets neuesten Stand Ihrer Software, insbesondere Ihrer Betriebsysteme. Dies senkt zudem für jede Aktualisierung deren Aufwand, der dann ja nur den kleinen Sprung von der zweitjüngsten auf die neueste Version bedeutet.
Folgende Betriebssysteme sowie Programmversionen als auch ihre Vorgängerversionen fielen bereits aus der Herstellerpflege und besitzen daher keine TLS-1.2-Umsetzung:
Für lokale Microsoft Exchange Server installieren Sie folgende Patches:
Exchange Server 2016
Exchange Server 2013
Exchange Server 2010
ältere Exchange Server Versionen
Weil Exchange Server stets Windows Server als Betriebssystem benötigt, muss Ihre Windows Server Version also TLS 1.2 nutzen:
Windows Server 2016 verschlüsselt standardmässig nach
Windows Server 2012 R2
Windows Server 2012
Windows Server 2008 R2 SP1
Windows Server 2008 SP2
(Secure) POP/IMAP
Auch diese beliebten Protokolle müssen TLS 1.2 für den Lesezugriff bezüglich Office-365-Anwendungen unterstützen. Testen Sie also das Lesen per Secure POP und Secure IMAP mit TLS 1.2.
SMTP
Besonders einfach überblicken Sie Ihre Situation per Analyse Ihres Datenverkehrs zu TLS-Versionen.
Ihre aktuelle Übersicht von TLS-1.2-kompatiblen Browserversionen erhalten Sie auf ssllabs.com Link: https://www.ssllabs.com/ssltest/clients.html
Wichtig:
Zwar forciert Microsoft den Einsatz von TLS 1.2, doch daneben können in Ihrer IT-Landschaft 1.1 und 1.0 aktiv bleiben, etwa für andere Anwendungen. Berücksichtigen Sie dann jedoch das Risiko von Downgrade-Attacken auf die jeweiligen Subsysteme Ihrer Landschaft. Hierbei versuchen Sie Prognosen, welches Risiko das jeweils infiltrierte Subsystem für das Gesamtsystem darstellen würde.
Hintergrund und Ausblick zu TLS
Transport Layer Security (Transportschichtsicherheit, früher Secure Sockets Layer - SSL) sichert Internet-Datentransfer als hybrides Verschlüsselungsprotokoll. Als letzte Version vor TLS 1.0 diente dazu SSL 3.0 (SSL 3.1 bezeichnet inoffiziell TLS 1.0).
Insgesamt liegt TLS zwischen dem Internet (im Sinne von IP) und Anwendungen wie HTTPS sowie IMAPS und POP3S. Die Mehrheit der Webserver nutzt noch ältere Versionen als TLS 1.2.
Während TLS 1.2 als recht moderner Standard sehr gute Sicherheit verspricht, hat die Internet Engineering Task Force (IETF) unlängst RFC 8446 verabschiedet. Somit zeichnet sich langfristig eine weitere Migration auf TLS 1.3 ab.
TLS 1.3 bietet noch modernere Transportverschlüsselung. Damit entfallen dubiose sowie definitiv verletzbare Algorithmen (RC4, SHA-1 und andere). So gestalten sich Downgrade-Angriffe (Logjam, FREAK etc.) noch aufwendiger oder unmöglich. Dazu gesellt sich höhere Integrität verschlüsselter Daten bei verdeckteren Metadaten zum Inhalt eines Transfers unter TLS.
Weitere Themen auf unserem Blog
Zehn Gründe für DSGVO-konformes Datenmanagement
Sicherheitslücke Mensch - Tipps für Unternehmen
Die besten Password-Tools im Test