Blog

Aug 31, 2023

Microsoft fügt HSTS-Unterstützung zu Exchange Server 2016 und 2019 hinzu

Microsoft gab heute bekannt, dass Exchange Server 2016 und 2019 jetzt HTTP Strict Transport Security (auch bekannt als HSTS) unterstützen. HSTS ist eine Webserver-Anweisung, die Websites anweist (z

Microsoft gab heute bekannt, dass Exchange Server 2016 und 2019 jetzt HTTP Strict Transport Security (auch bekannt als HSTS) unterstützen.

HSTS ist eine Webserver-Anweisung, die Websites (wie OWA oder ECP für Exchange Server) anweist, nur Verbindungen über HTTPS zuzulassen und sie so vor Man-in-the-Middle-Angriffen (MitM) zu schützen, die durch Protokoll-Downgrades und Cookie-Hijacking ausgelöst werden.

Es stellt außerdem sicher, dass Benutzer Warnungen zu abgelaufenen, ungültigen oder nicht vertrauenswürdigen Zertifikaten nicht umgehen können, die darauf hindeuten könnten, dass sie über kompromittierte Kanäle eine Verbindung herstellen.

Sobald die Funktion aktiviert ist, erkennen die Webbrowser Verstöße gegen die HSTS-Richtlinie und beenden als Reaktion auf Man-in-the-Middle-Angriffe umgehend die Verbindungen.

„HSTS bietet nicht nur zusätzlichen Schutz vor gängigen Angriffsszenarien, sondern trägt auch dazu bei, dass die übliche (und mittlerweile unsichere) Praxis, Benutzer von einer HTTP-URL auf eine HTTPS-URL umzuleiten, nicht mehr erforderlich ist“, erklärt Microsoft.

„HSTS kann auch zur Bekämpfung aktiver und passiver Netzwerkangriffe eingesetzt werden. HSTS behebt jedoch keine Malware-, Phishing- oder Browser-Schwachstellen.“

Detaillierte Informationen zur Konfiguration von HSTS auf Exchange Server 2016 und 2019 über PowerShell oder den Internet Information Services (IIS) Manager stellt Microsoft auf seiner Dokumentationswebsite bereit.

Administratoren können die Exchange Server HSTS-Unterstützung auch deaktivieren, indem sie die Konfiguration für jeden Server zurücksetzen.

„Bitte lesen Sie die Dokumentation sorgfältig durch, da einige der Einstellungen, die von der Standard-IIS-HSTS-Implementierung bereitgestellt werden (z. B. HTTP-zu-HTTPS-Umleitung), auf andere Weise konfiguriert werden müssen, da sie andernfalls die Verbindung zu Exchange Server unterbrechen könnten“, so das Exchange-Team sagte heute.

„Exchange HealthChecker wird bald ein Update erhalten, mit dem Sie herausfinden können, ob die HSTS-Konfiguration auf Ihrem Exchange Server wie erwartet ist.“

Diese Woche gab Redmond bekannt, dass Windows Extended Protection ab Herbst standardmäßig auf Exchange Server 2019 aktiviert wird.

Die Sicherheitsfunktion wird nach der Installation des 2023 H2 Cumulative Update (auch bekannt als CU14) aktiviert und schützt auch vor Authentifizierungs-Relay- oder MitM-Angriffen.

Microsoft forderte Administratoren im Januar außerdem dazu auf, ihre lokalen Exchange-Server kontinuierlich zu aktualisieren, indem sie die neuesten unterstützten kumulativen Updates (CU) installieren, um immer für Sicherheitspatches im Notfall bereit zu sein.

US-Cybersicherheitsbehörde analysiert Microsoft Exchange-Hack von Regierungs-E-Mails

Browserwechsel bei Windows 11: Europa applaudiert, überall Empörung

Sparen Sie 500 $ bei einem Windows-Tablet mit einem generalüberholten Microsoft Surface Pro

Angebot zum Labor Day: Holen Sie sich Windows 11 Pro für 32,97 $ bis zum 31. August

Microsoft gibt den OEM-Anbietern die Schuld an Bluescreens wegen „nicht unterstützter Prozessoren“.