La Basic Authentication è un metodo di accesso datato, usato di frequente in protocolli come POP, IMAP e SMTP AUTH. Trasmette alle applicazioni nomi utente e password principalmente in chiaro.
Per anni questo metodo di autenticazione legacy è stato lo standard del settore, ma oggi è considerato insicuro.
Secondo l’analisi di Microsoft, la Basic Authentication può aumentare in modo significativo il rischio di attacchi brute force e password spray. Soprattutto, rende difficile – se non impossibile – applicare protocolli di sicurezza avanzati come l’autenticazione a più fattori (MFA).
Proprio per questo Microsoft consiglia di bloccare completamente i protocolli di autenticazione legacy.
In questa guida vedremo i diversi metodi che puoi usare per disabilitare l’autenticazione legacy in Microsoft Office 365.
Guida completa alla disattivazione dei protocolli di autenticazione legacy in Office 365
📌 Prerequisiti:
- Configurazione di Microsoft 365: devi lavorare all’interno di un tenant Microsoft 365 con Exchange Online.
- Diritti di amministratore: devi disporre dei diritti di amministratore globale, amministratore della sicurezza o amministratore dell’accesso condizionale.
- Licenze per l’accesso condizionale: anche se puoi configurare l’accesso condizionale con le licenze di base, è consigliabile disporre di Microsoft Entra (in precedenza Azure AD) P1 o P2 per sbloccare le funzionalità di sicurezza avanzate.
- Compatibilità dei client: i tuoi client o utenti devono supportare OAuth 2.0, quindi devono utilizzare Outlook 2016 o le app Microsoft 365 per enterprise.
📌 Strategie di distribuzione consigliate:
💡Nota: da gennaio 2023 Microsoft ha disattivato la Basic Authentication in Exchange Online per diversi protocolli, tra cui Outlook, Exchange ActiveSync (EAS), POP, IMAP, PowerShell remoto, Exchange Web Services (EWS), Office Address Book (OAB) e Autodiscover.
Qui trovi una spiegazione visiva di questa guida: Come disabilitare l’autenticazione legacy in Microsoft 365.
Metodo 1: interfaccia di amministrazione Microsoft 365 (GUI)
📌 Situazione d’uso: questo metodo interessa tutti gli utenti del tenant e può essere configurato per avere la precedenza sulle impostazioni dei singoli utenti.
- Accedi all’Interfaccia di amministrazione Microsoft 365.
- Vai su Impostazioni > Impostazioni dell’organizzazione > Autenticazione moderna.
- Deseleziona le caselle seguenti per disattivare i protocolli di autenticazione legacy, come:
- IMAP
- POP
- SMTP AUTH
- MAPI
- Exchange Web Services (EWS)
- Exchange ActiveSync
- Fai clic su Salva per applicare le modifiche.
Metodo 2: accesso condizionale di Microsoft Entra
📌 Situazione d’uso: questo metodo è ideale per le aziende enterprise con licenze Microsoft Entra P1/P2. Permette di bloccare l’autenticazione legacy lasciando funzionanti le app che usano l’autenticazione moderna.
- Vai all’Interfaccia di amministrazione di Entra (in precedenza Azure AD).
- Vai su Sicurezza > Accesso condizionale.
- Fai clic su + Nuovo criterio.
- Assegna utenti/gruppi alla destinazione.
- In App cloud, seleziona Tutte le app cloud.
- In Condizioni > App client, includi Altri client (protocolli legacy).
- In Controlli di accesso > Concedi, scegli Blocca accesso.
- Attiva la policy e fai clic su Crea.
Metodo 3: PowerShell (per singolo utente e a livello di tenant)
📌 Situazione d’uso: questo approccio ti consente di gestire i protocolli di autenticazione legacy sia a livello di singolo utente sia a livello di azienda. È la scelta migliore per creare script per configurazioni di massa, verificare l’uso dell’autenticazione legacy e personalizzare le impostazioni delle cassette postali.
A. Connettersi a Exchange Online PowerShell
Connect-ExchangeOnline -UserPrincipalName [email protected]
B. Disattivare l’autenticazione legacy per i singoli protocolli
Set-CASMailbox [email protected] -PopEnabled $false -ImapEnabled
$false -MAPIEnabled $false -ActiveSyncEnabled $false -SmtpClientAuthenticationDisabled $true
C. Bloccare i protocolli legacy a livello globale (impostazioni del servizio)
Set-OrganizationConfig -OAuth2ClientProfileEnabled $true
D. Verificare quali utenti usano ancora l’autenticazione legacy
Get-SignInLogs | where {$_.ClientAppUsed -in
@(“POP”, “IMAP”, “SMTP”, “MAPI”, “EWS”)}
💡 Nota: i log di accesso richiedono una licenza Microsoft Entra P1 o P2.
Metodo 4: Editor del Registro di sistema (disattivare la Basic Auth in Office 365)
📌 Situazione d’uso: questo metodo è il più adatto per bloccare l’autenticazione legacy su un singolo dispositivo.
A. Per imporre l’autenticazione moderna lato client (ad esempio in Outlook):
- Premi Win + R, digita regedit e premi Invio.
- Vai a: HKEY_CURRENT_USER\Software\Microsoft\Exchange
- Crea o aggiorna: AlwaysUseMSOAuthForAutoDiscover (DWORD): 1
- Controlla anche:
HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity- EnableADAL (DWORD): 1
- Version (DWORD): 1
- Riavvia Outlook per applicare le modifiche.
Queste impostazioni obbligano il client a usare l’autenticazione moderna e impediscono il fallback alla basic auth.
⚠️ Attenzione: una configurazione errata del registro di sistema può rendere instabile il sistema. Procedi con cautela ed esegui il backup del registro di sistema prima di apportare qualsiasi modifica.
Metodo 5: Prompt dei comandi (verifica dello stato e risoluzione dei problemi)
📌 Situazione d’uso: questi comandi ti permettono di verificare il comportamento dell’autenticazione legacy e l’accessibilità dei protocolli durante la risoluzione dei problemi. Sono utili anche per controllare se le porte legacy sono ancora attive.
A. Verificare il tipo di autenticazione di Outlook (tramite Tasklist)
tasklist /m | findstr auth
B. Avviare la riparazione di Office (può forzare il cambio di autenticazione basato sul registro di sistema):
control appwiz.cpl
C. Verificare l’accesso ai protocolli a livello di rete:
telnet outlook.office365.com 143
telnet smtp.office365.com 587
💡 Nota: il Prompt dei comandi non può disattivare direttamente i protocolli di autenticazione, ma puoi usarlo per verificarne lo stato.
Metodo 6: Criteri di gruppo (applicazione lato client)
📌 Situazione d’uso: questo metodo blocca la basic authentication e impone l’autenticazione moderna in tutti i client Office 365. È consigliato per le organizzazioni che usano Active Directory e hanno bisogno di applicare policy lato client in modo uniforme.
- Apri la Console Gestione Criteri di gruppo (GPMC).
- Vai a: Configurazione utente > Modelli amministrativi > Microsoft Outlook 2016 > Impostazioni account > Exchange.
- Abilita le impostazioni seguenti:
- Abilita l’autenticazione moderna.
- Non consentire la basic authentication.
- Disabilita il fallback della modalità cache di Exchange alla basic authentication.
- Distribuisci il GPO tramite Active Directory o il motore di automazione di NinjaOne.
- Forza l’aggiornamento delle policy: gpupdate /force
Altri aspetti da valutare quando disabiliti l’autenticazione legacy in Microsoft 365
Ecco alcuni aspetti aggiuntivi da considerare quando disattivi l’autenticazione legacy in Office 365:
- Password per le app: se l’autenticazione a più fattori (MFA) è attiva, i client legacy potrebbero continuare a usare le password per le app. Anche questo metodo di accesso, però, è stato deprecato e andrebbe disattivato.
- Eccezioni per SMTP AUTH: puoi usare PowerShell per consentire SMTP AUTH su account di servizio specifici.
- Comunicazione agli utenti: prima di disattivare i protocolli di autenticazione legacy, avvisa gli utenti in anticipo per evitare interruzioni nel flusso di posta.
⚠️ Aspetti a cui prestare attenzione
Tieni presenti questi rischi quando segui la nostra guida:
| Rischi | Possibili conseguenze | Come rimediare |
| Policy configurate in modo errato nell’Interfaccia di amministrazione di Entra | Possono bloccare accessi legittimi e altri servizi critici | Disattiva o modifica la policy di accesso condizionale nell’Interfaccia di amministrazione di Entra. |
| Sintassi errata negli script | Gli errori manuali negli script possono causare interruzioni dei servizi. | Controlla la sintassi dello script o del comando prima di eseguirlo. |
| Chiavi di registro errate | Possono causare il mancato funzionamento di Outlook o rendere instabile il sistema | Esegui il backup del registro di sistema prima di apportare qualsiasi modifica. |
| Configurazione errata del GPO | I client Outlook potrebbero non riuscire ad autenticarsi o tornare alla basic authentication se il fallback è consentito. | Modifica o rimuovi il GPO, poi esegui gpupdate /force per applicare le modifiche. |
Consigli per la risoluzione dei problemi durante la disattivazione dell’autenticazione legacy
- Utenti che si connettono tramite protocollo legacy: se un utente continua a connettersi tramite un protocollo legacy, controlla i log di accesso di Exchange Online per individuare chi usa ancora metodi di autenticazione obsoleti.
- Outlook chiede ripetutamente la password: verifica che le impostazioni del registro di sistema e dei GPO impongano OAuth.
- SMTP AUTH non funziona per i mittenti automatizzati: aggiungi eccezioni solo se strettamente necessario.
- Ritardi nell’applicazione: alcune impostazioni di Microsoft 365 possono richiedere fino a 24 ore per diventare effettive.
Perché conviene bloccare l’autenticazione legacy
La Basic Authentication è semplice da implementare, ma presenta diversi limiti di sicurezza che la rendono un bersaglio facile per gli hacker più preparati.
Ad esempio, non supporta funzionalità di sicurezza moderne come l’autenticazione a più fattori (MFA), una delle misure più efficaci per impedire gli accessi non autorizzati.
Inoltre non usa la crittografia per trasmettere le credenziali: se non vengono inviate tramite HTTPS, possono essere intercettate e lette con facilità.
Soprattutto, non offre le funzionalità necessarie per definire livelli di autorizzazione differenziati nelle applicazioni. Un solo set di credenziali può aprire l’accesso a più punti di dati.
Senza ulteriori livelli di sicurezza, agli aggressori bastano un nome utente e una password validi per sottrarre dati e informazioni fondamentali.
I servizi NinjaOne per rafforzare i controlli di autenticazione
NinjaOne offre a MSP e amministratori di sistema strumenti per semplificare l’applicazione delle policy e rafforzare i controlli di autenticazione negli ambienti distribuiti.
| Servizio NinjaOne | Che cos’è | Come ti aiuta |
| Distribuzione di script PowerShell | Usa script PowerShell per applicare da remoto e su larga scala configurazioni delle cassette postali e modifiche al registro di sistema. | Consente agli amministratori di sistema di applicare da remoto Set-CASMailbox e modifiche al registro di sistema su più endpoint contemporaneamente. |
| Applicazione dei Criteri di gruppo | Automatizza la distribuzione delle impostazioni di sicurezza, come la disattivazione dei protocolli di autenticazione, sui dispositivi aggiunti al dominio. | Aiuta a garantire policy di autenticazione uniformi su tutti gli endpoint. |
| Audit dei dispositivi | Monitora quali endpoint usano ancora protocolli di autenticazione obsoleti o insicuri. | Aiuta i team IT a tenere traccia dei dispositivi non conformi e permette loro di intervenire. |
| Avvisi | Segnala a MSP e amministratori di sistema eventuali tentativi di basic authentication o le modifiche a configurazioni critiche. | Permette agli amministratori di sistema di reagire in modo proattivo a potenziali minacce o violazioni delle policy. |
| Reporting dell’inventario | Individua quali endpoint supportano l’autenticazione moderna e quali si basano ancora sui protocolli legacy. | Fornisce informazioni utili per pianificare aggiornamenti e altri interventi correttivi. |
Usare NinjaOne con Microsoft 365 ti offre un approccio completamente automatizzato, scalabile e conforme per disabilitare l’autenticazione legacy senza penalizzare la produttività.
Riduci i rischi critici disattivando i protocolli di autenticazione legacy obsoleti in Microsoft 365
Nell’attuale scenario digitale ad alto rischio, disattivare i protocolli di autenticazione legacy non è più una scelta, ma una necessità. È un passaggio fondamentale per rafforzare la postura di sicurezza della tua organizzazione.
Man mano che le minacce informatiche continuano a evolversi, la richiesta di strategie di autenticazione sicure e pronte per il futuro non potrà che aumentare.
Disattivare protocolli legacy come la Basic Authentication in Microsoft 365 è il primo passo verso l’adozione di metodi di autenticazione più solidi e moderni. È la base su cui costruire policy di cybersecurity efficaci.
Argomenti correlati:
- Che cos’è l’autenticazione moderna?
- Che cos’è la gestione delle credenziali? Definizione e best practice
- Come verificare che l’autenticazione moderna sia abilitata in Office 365 con PowerShell
- Come configurare l’autenticazione a più fattori (MFA) in Office 365
- Come eseguire il backup di Microsoft 365 Exchange Online
