Dispositivos ActiveSync causando bloqueio de contas

12

Quando um usuário altera a senha da sua conta por qualquer motivo (leia-se: expirou), e a senha antiga é armazenada em seu dispositivo móvel conectado por meio do EAS. Isso fará com que sua conta seja bloqueada quase imediatamente - como deveria, de acordo com a política de bloqueio definida no AD. Foi fácil descobrir essa parte. A parte difícil é impedir que isso aconteça. Eu olhei em todos os lugares. Nada. Basicamente, existem quatro partes do quebra-cabeça: o dispositivo EAS, o servidor TMG (ISA), o protocolo EAS e, finalmente, o AD. Nenhum deles possui uma maneira de impedir que o dispositivo EAS falhe na autenticação. Então imaginei que teria que apresentar uma solução inteligente. E a única coisa que eu poderia criar é criar um grupo para todos os usuários do EAS e excluí-los da política de bloqueio, o que obviamente derrota todo o objetivo da política,

A pergunta: você pode pensar em outra maneira de impedir o EAS de bloquear as contas?

Ambiente: Principalmente dispositivos iOS por todo o EAS. TMG 2010. Exchange 2007. AD 2008 R2.

— Abdullah
fonte

ótima pergunta, a sério.

— precisa

2

A política de bloqueio deve estar entre 10 e 50, de acordo com o Microsoft Security Compliance Manager. Qual é o seu conjunto?

— TristanK 18/03

Boa pergunta, estou curioso para saber se haverá uma solução válida.

— TheCleaner 06/07/12

Você pode ser super inteligente e implementar um proxy de encaminhamento que modela as tentativas de autenticação. O AFAIK EAS é baseado em HTTPS. closedsrc.org/2010/11/…

— Grizly

3

Normalmente, o que dizemos aos usuários é colocar o dispositivo no modo "voo" ou "avião", cortando o acesso à rede quando eles estiverem prontos para alterar a senha, uma vez que alterem a senha no Desktop / Laptop, eles poderão inserir a nova senha em dispositivo e conecte-o novamente à rede.

É claro que também enviamos a notificação de expiração para que eles estejam bem preparados para a expiração da senha.

— KAPes
fonte

É uma boa ideia, mas, pela minha experiência, dependendo dos usuários para resolver um problema, criaremos mais problemas. Já temos um procedimento para alterar a senha sem ser bloqueado, mas ninguém a segue.

— Abdullah

Esqueci de adicionar, os usuários terão algum tempo para atualizar suas senhas sem serem bloqueados, pois a autenticação acontece a cada 15 minutos.

— Abdullah

esse é um problema de "pessoas" e tentar resolver usando a tecnologia reduzirá a segurança do ambiente, pois não há como alcançar o cenário ideal. Se isso fosse BlackBerry isso não teria sido problema :)

— KAPes

1

O TMG SP2 agora possui o recurso de bloqueio de conta para evitar esse problema. Veja: Aqui , aqui e aqui .

— Pierro222
fonte

Embora isso possa teoricamente responder à pergunta, seria preferível incluir aqui as partes essenciais da resposta e fornecer o link para referência.

— Scott Pacote

Embora o recurso Bloqueio de conta do TMG possa ser útil para muitos casos de uso, ele cobre apenas a autenticação baseada em formulário. O ActiveSync parece não usar a autenticação baseada em formulário, portanto parece que não funcionaria no cenário do pôster original.

— the-wabbit

1

Fui desafiado por essa pergunta também. Como uma opção séria, estou considerando a autenticação ActiveSync baseada em certificado. Juntamente com a política do EAS para exigir um código de senha para desbloquear o dispositivo móvel, isso deve contar como autenticação de dois fatores (algo que você possui: certificado no seu dispositivo móvel, algo que você sabe: código de senha para o seu dispositivo móvel). Dessa forma, não há problema quando a senha expira. Espero que isto ajude. http://blogs.technet.com/b/exchange/archive/2012/11/28/configure-certificate-based-authentication-for-exchange-activesync.aspx

— Reinto
fonte

0

Cabe ao dispositivo informar ao usuário que a autenticação falhou. Penso que uma resposta melhor é usar algo como Boas mensagens para empresas nos dispositivos iOS, que acredito oferecer suporte a EAS corporativo.

— Jim B
fonte

O iOS mostra uma mensagem pop-up para atualizar a senha, mas a conta já estava bloqueada. Boas mensagens parecem um exagero, eu acho.

— Abdullah

0

Essa é uma boa pergunta. Infelizmente, não encontrei uma maneira de impedir que o dispositivo tente se autenticar até que a senha seja atualizada. A única coisa que você pode fazer é excluir o usuário da política ou documento de senha como alterá-la no dispositivo e lembrá-lo sempre que a senha expirar e eles precisarem ter a conta desbloqueada.

Você também pode usar um script ou programa para enviar por e-mail às pessoas que suas senhas expirarão em x número de dias e incluir um lembrete de que elas precisam alterar a senha no telefone.

Esperava ter esse problema no meu atual empregador desde que implementei uma política de senhas em novembro, mas até agora meus usuários móveis parecem inteligentes o suficiente para alterar suas senhas sem serem lembrados.

— smassey
fonte

Excluir os usuários parece ser a única solução, mas não muito boa. Nossos usuários já recebem uma notificação antes que sua senha expire com etapas completas sobre como atualizar sua senha corretamente para evitar o bloqueio, mas ninguém lê. Eu sugiro que você teste sua política, talvez ela nem esteja funcionando, a menos que você esteja trabalhando para a NASA e, mesmo assim, duvido.

— Abdullah

0

Convém testar como as tentativas de autenticação do (s) dispositivo (s) se comportam quando não estiver usando a funcionalidade "Sempre atualizado". Se um dispositivo estiver configurado para pesquisar a cada cinco minutos, em vez de usar Sempre atualizado, e isso não incorrer na taxa de falhas de autenticação que acionam o bloqueio de conta, isso pode ser uma solução viável.

— Greg Askew
fonte

Eu tentei isso, o servidor TMG está configurado para solicitar autenticação a cada 15 minutos. Os usuários terão tempo para atualizar suas senhas antes que a próxima autenticação ocorra, mas não podemos depender dos usuários. Também tentei descobrir quantas vezes o iOS tenta se autenticar antes de desistir, mas não conseguiu, nem testando nem analisando a documentação inútil da Apple.

— Abdullah

Parece que seria bastante simples determinar o número de tentativas de autenticação examinando os logs do IIS.

— precisa

Sim, depois de postar meu comentário ontem, percebi que podia examinar o log para obter informações, então fiz exatamente isso. Não encontrei o que estava procurando, mas continuarei procurando.

— Abdullah

0

Esse parece ser um problema no dispositivo, com o iPhone tentando usar com muita freqüência a senha antiga, entretanto incorreta. A Apple publicou uma nota técnica sobre esse problema, prometendo uma melhor experiência com dispositivos no iOS7: http://support.apple.com/kb/TS4583

— cbrandlehner
fonte

-1

Bloquear o endereço IP de origem no firewall na frente do servidor Exchange

— Kevin
fonte

1

Estamos falando de usuários legítimos que estão no processo de alterar um posicionamento de senha atual, sem bloquear usuários mal-intencionados.

— Grizly 9/08/2012