Microsoft Exchange web access - hořká komedie (diskuse)

[Tomáš Pelc]

Díky za čtivý článek. Taky jsem takto bojoval proti Korporaci, ale v posledni době nasadili jakousi pseudo-dvoufázovou autentifikaci (jméno/heslo se musí zadávat na 2x), přes kterou Davmailem nemůžu prolézt. Neměl jsem čas to dopodrobna zkoumat.

[Georgius]

něco takového prý "umí" ten mobilní klient za 2000 ročně - prý se pokaždé zadává nějaký PIN či co ... Doufám, že NPI nikdo neřekne, že existuje ta "bezpečnější" dvoufázová autentifikace (mimochodem, s výkřikem, že je to bezpečnější NPI nahradil openvpn s ověřování klíčem za Cisco VPN s ověřováním proti Active Directory (t.j. heslem, které je navíc stejné jako login do Win počítačů a nyní i mejlu).

[Jiří Lisický]

Pokud jako mail klienta používáte Evolution, umí se taky napojit na Exchange Web Services.

[MP]

No, me to ani ale neprekvapuje. Vzdy se najde uzivatel zkousici obchcat firemni politiku (=horka komedie z uzivatelske strany). Ke cti je nutno priznat, ze zde je to jen jen pro testovani (zatim).

Vypichl bych nekolik bodu:

1] forward posty do soukrome schranky - to je velmi uzasna ficura ve chvili, kdy se pracovni veci valeji v soukromych schrankach - vazne si myslite, ze je snadne zajistit, aby se neforwardovaly citlive veci? I takova blba obchodni nabidka muze dost ovlivnit vyberove rizeni. A to nemluvim o moznych problemech s politikami typu SFP atd.

2] taky chci videt, pokud je nasazena politika rotace hesel, jak se to bude synchronizovat na ten davmail/libovolny imap nesvazany trustem s AD

3] klice s openvpn vs cisco s AD - no, klice jsou na jednu stranu nezapamatovatelne ale MUSI byt nekde ulozeny, na druhou stranu opet plati, ze distribuce je slozitejsi nez synchronizovana zmena hesla pres AD. A aby mel kazdy user xx hesel/klicu pro ruzne aplikace - to je otrava na entou spravovat, zlaty SSO (pokud funguje) anebo aspon schopnost autentifikace pomoci AD.

I Exchange ma sve velke minusy, ale do korporatu je to jedna z hlavnich voleb uz z hlediska nakladu na spravu uzivatelskych stanic. Zkuste si centralne spravovat treba Thunderbird...

[trekker.dk]

forward posty do soukrome schranky - to je velmi uzasna ficura ve chvili, kdy se pracovni veci valeji v soukromych schrankach

Tohle fakt nechápu. Freemaily, téměř žádné garance chodu té služby a vůbec žádná ochrana proti tomu, aby si maily četl admin toho freemailu. A autorovi blogpostu podle všeho fakt přijde jako dobrý nápad si tam přeposílat pracovní a tedy potenciálně citlivé maily.

[Georgius]

Tak autor blogpostu si chtěl maily přeposílat na VLASTNÍ SOUKROMÝ server. kažodpádně, potencionálně citlivý mail by se podle mého názoru měl šifrovat, protože stejně si ho už po cestě mohli přečíst a přes ECHELON ho NSA už dávno má .

[PETR]

Jj, ale bez tohoto přístupu bychom přišli o vtipné aférky typu Bouhouš Sobotka nebo Hillary Clintonová

[Georgius]

ad 1 - na úrovni manažerů tohle chápu. Většina zaměstnanců ale na manažery "vydělává" něčím úplně jiným, než obchodováním (dále tyto "hlupáky" budu označovat přiléhavcým slovem "dělník"). A vzhledem k tomu, jakým způsobem se v Instituci soutěží i "kuličky do myši" (konkrétní příklady zcela absurdních výběrových řízení z důvodu zachování anonymity záměrně neuvádím) tak si myslím, že i kdyby si obchodní nabídku přečetla konkurence, tak nemá moc šanci něco změnit. Navíc finální nabídku stejně bude odevzdávat zalepenou a tak. Ale jak píšu, jsem jen drobné zrnko písku v soukolí, kde začínají platit Parkinsonovy zákony. Takže výsledkem nasazení úchylného webmailu je, že řadoví dělníci si poštu otevřou méně často (za hlasitého nadávání na množství spamu) a komunikace se zhorší, protože místo toho, aby si o školení jak správně držet násadu přečetli v mailu, dozví se to dříve od spolupracovníků .

ad 2 - již dnes většina dělníků řeší pravidelné změny hesel metodou "šup-sem-šup-tam", heslo adélka změní na alenka a vzápětí zpět na adélka. Až si to NPI uvědomí, bude poddaný lid dost nas*. Jo a nejvtipnější je, že o expiraci hesla informují jen Widle, do kterých se ale většina dělníků přihlašuje společným username (a mají pro to celkem dobrý důvod), navíc se pohybují na různých počítačích. Takže reálně to vypadá tak, že dělníci, co se připojují přes VPN zjistí, že nemůžou pracovat, protože jim expirovalo heslo, takže se musí osobně vydat do Instituce, kde si ve Widlích heslo změní

ad 3 - mluvím o klíči k VPNce, pak už je zbytek zhlediska bezpečnosti dost jedno a klidně může být proti LDAPu

Stand-alone Exchange z důvodu popsaného v bodu 2 používá jen pár managorů, prostí dělníci nic takového nemají ...

[Georgius]

P.S.: stejně je nebezpečné na ty maily odpovídat - co když si to cestou někdo odposlechne a přečte ? Tyhlety internety stejně každého jenom obtěžují, měly bychom se vrátit k potrubní poště, ta tím netrpěla ...

[MP]

No,

ad1] jenze bezni uzivatele casto neresi citlivost informaci a klidne si posilaji hesla k systemum. Zalepena nabidka jeste neni samospasna - jednak neverejne parametry VR muzou mit dost velkou hodnotu a jednak v pripade doplneni nabidky se jiz znalost konkurencni nabidky hodi...atd atd.

ad2] tohle dokaze omezit historie hesla, popr. 2FA. Prihlasovani vice lidi na stejny ucet je problem, ktery je stoprocentne omlacen vedeni o hlavu ve chvili, kdy probihaji audity. Expirace hesla je vseobecny problem vsude, proste lidi nectou maily, nezmeni si ho vcas atd...Opet tohle asi nejlepe resi nepouzivat heslo vubec - tj, tokeny/cipy apod.

ad3] je uplne jedno, zda se k vpn hlasim klicem ci heslem v pripade, ze se jedna o pristup primo z te stanice. Ten klic na ni casto je - malokdo to ma na oddelenem mediu.

[Jendа]

1] Na soukromě věci je snad samozřejmé používat end to end encryption, například PGP, takže to přece vůbec nevadí. Tedy pokud není citlivá i samotná informace, od koho jsem mail dostal, ale pak je problém už v tom, že ten systém používá SMTP.

[hypvofxy]

Vzdy se najde uzivatel zkousici obchcat firemni politiku

Vnimal bych to spis tak, ze se najdou uzivatele, kteri se snazi to nejak pohodlneji pouzivat, a bezpecnostni politika jim v tom z nejakeho duvodu brani.

Ke cti je nutno priznat, ze zde je to jen jen pro testovani (zatim).

LOL.

1] forward posty do soukrome schranky - to je velmi uzasna ficura ve chvili, kdy se pracovni veci valeji v soukromych schrankach - vazne si myslite, ze je snadne zajistit, aby se neforwardovaly citlive veci?

Neprecenoval bych to. Nezname povahu te komunikace.

2] taky chci videt, pokud je nasazena politika rotace hesel, jak se to bude synchronizovat na ten davmail/libovolny imap nesvazany trustem s AD

Rotace hesel je jedna z nejvetsich myslitelnych kravin pokud nehovorime prinejmensim o jadernem reaktoru. Nekde jdou az tak daleko, ze si pamatuji hesla zpetne (nevim, do jake hloubky) a jednou pouzite heslo nelze pouzit znovu.

Zapsat si heslo nekde na listecek na monitoru nebo v penezence predstavuje vetsi riziko nez dlouhodobe pouzivani rozumneho, dobre zapamatovaneho hesla, ktere je bezpecne tak dlouho, dokud nedoslo k jeho uniku. Jak zjistit, ze nedoslo k jeho uniku? Zaznamenavat historii pristupu s co nejvice detaily, pokud mozno ji nekde zobrazovat po prihlaseni, poucit uzivatele. Podezrele pristupy lze preventivne blokovat a vyzadat si dvoufaktorovou autentizaci (zaslani tokenu na telefon, osobni e-mail apod.).

Podobnou kravinou je pozadavek na slozeni hesla. Prosta veta slozena z malych pismen by byla pro bezne uzivatele mnohem privetivejsi a byla by bezpecnejsi nez si vymyslet vylomeniny jako ze heslo musi obsahovat male pismeno, velke pismeno, cislici a alespon jeden z uvedenych specialnich znaku. Kdyby existoval IT fasismus, tohle by bylo ono.

[R]

Presne tak, rotacia hesiel bezpecnost nezvysuje, naopak ju znizuje. A zbytocne otravuje pouzivatelov a vo vysledku tiez spravcov (zabudnute hesla, nefunkcne prihlasovanie kvoli expirovanemu heslu).

[prqek]

Konečně někdo, kdo má pravdila kolem hesel stejný názor jako já. Rotace hesel s pamětí mě přivedla od víceméně silných hesel, k heslům slabým, které generuji podle data změny. Požadavky na délku a obsah hesla mě nejvíc vytáčejí u webů, kde je největším rizikem, že někdo zneužije moji víceméně anonymní přezdívku. Celé to vede jen k neustálým restartům hesel.

[bigBRAMBOR]

vím o firmě kde musejí měnit heslo kazdy mesic, a nesmí se opakovat 12 měsíců. Světe div se, 3/4 lidí má hesla Leden1, Unor2, Brezen3,....

nevím už jaká služba mi odmítnula moje heslo jako příliž slabé, protože obsahuje málo rozdílných znaků. Chtěl jsem aaaaaaaaaaaaaaaaaaaaaaaaaaa - 27x "a" - i když si myslím, že z pohledu hrubé síly, při takovém počtu znaků, už na jejich rozdílnosti nezáleží.

[Filip Jirsák]

Nejde jen o počet znaků, jde o to, kolik kombinací musí útočník vyzkoušet. Pokud útočník nějak získá informaci, že je to 27 stejných malých písmen (třeba protože zahlédl zadávání hesla), potřebuje vyzkoušet jen 26 možností. I pokud si nebude jistý počtem, vyzkouší třeba 26⁵ možností, což odpovídá 5znakovému heslu z malých písmen. Proti útoku hrubou silou, který bude zkoušet všechna hesla postupně od jednoznakových je to heslo velmi odolné, ale tohle není jediný možný vektor útoku.

[Max]

U nás kolegové nastavili politiku v IS tak, že se mění heslo každé 3 měsíce. Úplná idiocie. Tak učím lidi, že si to heslo po změně mohou zase nastavit zpátky, protože žádná historie neexistuje, tak to IS povolí.
Všechno to je kvůli auditům, ty za to můžou. Přijde auditor, který má v notýsku napsáno, že se musí podle nějaký hovadiny měnit heslo xkrát do roka, tak to tak musí být.
SAP také vynucuje změnu a hesla a pamatuje si x definovaných položek do historie, takže tam smůla. A u něj vidím, jak se k heslům v takovém případě chovám ledabyle.
Taktéž nechápu, co je nebězpečného na tom, když si uživatel vytvoří vlastní heslo, které si pamatuje a používá třeba x let místo toho, aby ho měnil kažý x měsíců a rezignoval takovým způsobem, že ho má většina na papírku u monitoru.
Zdar Max

[Filip Jirsák]

Myslím, že zápory vynucené změny hesel jsou známé (především to, že lidé pak používají slabší hesla). Ale podařilo se už někdy někomu zjistit, jaký má mít tohle opatření přínos? Mne napadá jenom to, že se tak znemožní přístup někomu, kdo nějaké heslo získal a zatím se to nezjistilo. Jenže v takovém případě je podle mne velký průšvih to, že se to nezjistilo, ale hlavně, pokud někdo to heslo získal jednou a nepřišlo se na to, je velice pravděpodobné, že to heslo dokáže získat i podruhé. Takže ten domnělý přínos problém neřeší, jenom ho skrývá. Ví tedy někdo o nějakém skutečném přínosu takového opatření?

[hypvofxy]

Vidim to stejne. Proto jsem ostatne zminoval to zobrazovani historie prihlaseni, coz povazuju za velmi ucinny bezpecnostni prvek, a to jak z hlediska prevence (napr. vedomi, ze kdyz se nekdo prihlasi na koleguv ucet, ten se o tom muze dozvedet), tak pro zpetne odhaleni.

[Bystroushaak]

Taktéž nechápu, co je nebězpečného na tom, když si uživatel vytvoří vlastní heslo, které si pamatuje a používá třeba x let místo toho, aby ho měnil kažý x měsíců a rezignoval takovým způsobem, že ho má většina na papírku u monitoru.

Nebezpečné na tom je, že někdo pak hackne špatně napsané stránky jeho školní kapely a stejným heslem se pak dostane do emailu, do práce, do banky a všude.

[hypvofxy]

Rec byla o trvalem pouzivani hesla pro jednu konkretni sluzbu. Pravidelne zmeny v tom pomoct vubec nemusi, protoze pokud pouzivas nahodne par hesel, po expiraci jednoho proste zvolis druhe, nebo treti. S jednim leaknutym heslem se pak sice mozna neprihlasis vsude, ale nekam porad ano.

[bigBRAMBOR]

zase na druhou stranu jsem se setkal se SW, a ano je potřeba přiznat že to byl sw malý, pro dost specifické potřeby, a jeho jméno radši říkat nebudu, který mi nedovoloval aby dva uživatelé měli stejné heslo, a dokonce o tom informoval, "heslo nelze změnit, jiný uživatel už používá stejné heslo"

[Jendа]

„Heslo nelze změnit, uživatel novak3 již používá stejné heslo“

[hypvofxy]

LOL!

[Filip Jirsák]

Používala ta aplikace i uživatelská jména? Třeba alarmy běžně identifikují uživatele pouze heslem (PINem), a pak samozřejmě hesla musí být unikátní.

[R]

Rovnako aj pokladnicne systemy.

[bigBRAMBOR]

ano použivala i user name. Bylo to spiš chybně vytvořenym indexem nad sloupcem v DB, ale autor to nepovazoval za nutne opravit.

[kolebaba]

No tak jestli máš v kanclu normální velkej outlook, tak si udělej přeposílací pravidlo na svou soukromou adresu (kterou si předtím naťukáš do kontaktů) a máš hotovo. Omezení na straně Exchange/OWA tohle implicitně nezakazuje, pokud to teda NPI nějak extra nepotunil ...

[Georgius]

no v OWA to právě nastavil tak, že to nejde. Utlouka asi ani nemáme všude nainstalovaného - to bych se musel podívat. Ale každopádně by to bylo porušení rozhodnutí porady vedení .

[Xerces]

Tak doufej, že porada vedení nerozhodne, abys skočil z okna.

[Jendа]

Koukám, že se svými servery s Postfixem, Dovecotem a calendarserverem o hodně přicházím.

system tray (kurňa, jak se to správně řekne česky ?)

Snad oznamovací oblast.

[Nuphar]

Děkuji, tohle budu muset vyzkoušet. To webové rozhraní Outlooku je snad to nejhorší, co jsem kdy viděl.

[Max]

Je mi divné, že by se za přístup přes ActiveSync platilo. Co vím, tak je to by default součástí každé verze Exchange. Možná to ale není licence pro MS, ale pro nějakého VPN klienta (Cisco AnyConnect apod.?)
Další možností je, že to je placený hosting u MS, v takovém případě bych pak věřil, že to mají nějak zpoplatněno. Poslední možností je, že Exchange 2016 změnil licenční politiku a cena za ActiveSync je zvlášť.

Pokud jde o přeposílání emailů, tak je to blbost. V dnešní době se maily nepřeposílají, to dělají jen blázni, kterým nezáleží na mailech, protože SPF a další věci. Ve finále tedy dost emailů nemusí vůbec dojít. Všechny FreeMaily v dnešní době podporují vybírání pošty přes IMAP/POP3, takže místo forwarde bych používal vybírání (pokud IMAP/POP3 není taktéž zakázán).

Jsem autorem odkazovaného článku o ceně MS Exchange a taktéž jsem autorem tohoto článku : Thunderbird a propojení s Microsoft Exchange, kde mj. popisuji DavMail :).

Pokud jde o protokol ActiveSync jako takový, tak bacha. Je tu "ActiveSync" pro komunikaci se zařízeními přes USB/Bluetooth, to je proprietární stará věc, která přišla s mobilníma windows, vývoj skončil v roce 2007, viz : ActiveSync. Pak je tu Exchange ActiveSync, jehož specifikaci MS uvolnil. Viz tento thread : 387988#11
-----
EAS - Exchange ActiveSync
V roce 2008 MS změnilo licenční politiku EAS a uvolnilo dokumentaci k EAS, viz : Exchange Server Protocol Documents
Pokud jde o OpenSource, tak nejznámější implementace EAS je Z-Push, dřív jej používal i zmíněný Kolab, až později přešel k jiné OSS implementaci : Syncroton, ale nevím, co si o tom mám myslet, protože mi nepřijde tak bouřlivě vyvíjený jako Z-Push.
Každopádně outlook a EAS je kapitola sama pro sebe, viz :
Announcing Exchange ActiveSync v16
Exchange, EAS, and Outlook 2013
-----
Máme zde tedy :
ActiveSync pro windows mobile - mrtvá technologie
MAPI pro outlook - polomrtvá technologie
EAS (Exchnage ActiveSync) - aktuální technologie, na kterou MS tak nějak přechází (částečná podpora je v outlooku od verze 2013 a používají to všechny mobilní zařízení)
Office365 - Outlook REST API (takže né EAS)
Outlook Anywhere - http přístup k exchange od Outlook 2007 (přes Microsoft Exchange Proxy)
MAPI over HTTP - Zdá se, že s Outlookem jde tímto směrem a nahradí tím jak MAPI, tak asi možná i Outlook Anywhere
Viz tato sumarizace : MAPI over HTTP in Exchange 2016
Jak je tedy vidět, tak MS nelení a situace se tak nějak stále mění/vyvíjí :-/.
Zdar Max

[Max]

Jinak teda těch 500GB dat na 15mil mailů pro 2000 uživatelů, to mi přijde docela málo. Čekal bych, že takový počet mailů bude zabírat víc, jak 500GB. Na druhou stranu je zjevné, že když se neposílají přílohy, tak to není nic neobvyklého.
Já spravuji dva větší mailservery a takto to vypadá :
Kerio Connect - 362 uživatelů - 1TiB dat - 2 mil emailů
Exchange 2007 - 345 uživatelů - 1,3TiB - 8,1 mil emailů
Archivační systém GFI jen pro Exchange - 27,5mil.
Zdar Max

[Georgius]

Jo, POP3(S),IMAP(S) i SMTP(S) jsou pochopitelně a zcela logicky zakázané, o ty jsem zkusil požádat jako o první, ale bylo mi jasné, že tudy vlak asi nepojede (a nejel). Tu zmínku o DavMailu jsem nenašel, proptože článek se jmenoval thunderbird a ... a začínal, že "máme zapnutý IMAP", takže dál už jsem to nečetl, omlouvám se Maxi. Ale koukám že MS termitologie je ještě větší hnůj než by jeden čekal ...

[peter]

akoze fakt nevidim dovod preposielat si pracovne maily na sukromny mail - owa tusim funguje aj zvonku ak sa to nakonfiguruje

z mojho pohladu nonsense

[Bystroushaak]

Nepochopil jsi základní premisu, že owa je sračka plesnivá, schnilou mrdkou pomazaná a nikdo jim na tu posyflenou parodii na grafické rozhraní, která se navíc pořád mění, není zvědavej.

[Georgius]

AMEN AMEN !!! Kdo nezkusil, nepochopí.

[podlesh]

Lotus Notes na vás

[cezz]

Go away Satan!

[Max]

Jo, slyšel jsem, že to je zlý. Nikdy jsem to v provozu neviděl, tak nevím. Šéf to zkoušel před asi 10 lety a má z toho mindráky do teď. Ale zase, co bylo před 10 lety, to nemusí být nyní. Další věcí je, že Lotus notes není jen náhrada pro Exchange, ale i prostředí pro provoz firemních aplikací, nějaká integrace se SAPem apod. (i když teď lze u exchange v rámci OWA také instalovat nějaké app).
Zdar Max

[podlesh]

Ano, je to tak, maily a kalendář jsou prostě jen aplikace, jedny z mnoha.

Jinak ty novější veze už nejsou takové psycho jako to bývalo... už ani nejde poslat přílohy v Subject

[peter]

A: preco si posielas firemnu postu na sukromny server B: mam premisu....A: kolko je hodin? B: zlta :D :D

owa je vec zazracna oproti lotus notes ( spominane nizsie ), lotus denne, horsie je len verse web klient

ale ved OK :) mozes si preposielat tvoju postu na moj server ? :D

[NN]

Pracoval jsem ve vysoke statni organizaci a vysledek loby komercnich firem byl muj odchod. Boj s vetrnymi mlyny, ale drzim palce..