Legacy authentication uitschakelen in Microsoft 365

Basic Authentication is een oudere aanmeldmethode die vaak wordt gebruikt met protocollen als POP, IMAP en SMTP AUTH. De methode stuurt gebruikersnamen en wachtwoorden hoofdzakelijk in platte tekst naar applicaties.

Deze legacy authentication-methode was jarenlang de industriestandaard, maar geldt naar de maatstaven van vandaag als onveilig.

Uit de analyse van Microsoft blijkt dat Basic Authentication het risico op brute force- en password spray-aanvallen flink kan vergroten. Belangrijker nog: de methode maakt het lastig of zelfs onmogelijk om geavanceerde beveiligingsprotocollen als Multifactor Authentication (MFA) af te dwingen.

Microsoft raadt daarom aan om legacy authentication-protocollen volledig te blokkeren.

In deze gids bespreken we de verschillende methoden waarmee u legacy authentication in Microsoft Office 365 uitschakelt.

Een complete gids voor het uitschakelen van legacy authentication-protocollen in Office 365

Vereisten:

• Microsoft 365-omgeving: u werkt binnen een Microsoft 365-tenant met Exchange Online.
• Beheerdersrechten: u beschikt over de rechten van globale beheerder, beveiligingsbeheerder of beheerder voor voorwaardelijke toegang.
• Licentie voor voorwaardelijke toegang: u kunt voorwaardelijke toegang met een basislicentie configureren, maar Microsoft Entra (voorheen Azure AD) P1 of P2 is aan te raden om geavanceerde beveiligingsfuncties te ontgrendelen.
• Compatibiliteit van clients: uw e-mailclients en applicaties moeten OAuth 2.0 ondersteunen, wat betekent dat ze Outlook 2016 of Microsoft 365-apps voor enterprise gebruiken.

Aanbevolen uitrolstrategieën:

Let op: sinds januari 2023 heeft Microsoft Basic Authentication uitgeschakeld in Exchange Online voor verschillende protocollen, waaronder Outlook, Exchange ActiveSync (EAS), POP, IMAP, Remote PowerShell, Exchange Web Services (EWS), Office Address Book (OAB) en Autodiscover.

Een visuele uitleg bij deze gids vindt u hier: Legacy authentication uitschakelen in Microsoft 365.

Methode 1: via het Microsoft 365-beheercentrum (GUI)

Use case: deze methode geldt voor alle gebruikers in de tenant en kan zo worden ingesteld dat instellingen per gebruiker worden overschreven.

1. Meld u aan bij het Microsoft 365-beheercentrum.
2. Ga naar Instellingen > Organisatie-instellingen > Moderne verificatie.
3. Schakel de volgende selectievakjes uit om Basic Authentication voor de geselecteerde protocollen te blokkeren, zoals:
   1. IMAP
   2. POP
   3. SMTP AUTH
   4. MAPI
   5. Exchange Web Services (EWS)
   6. Exchange ActiveSync
4. Klik op Opslaan om de wijzigingen toe te passen.

Methode 2: via voorwaardelijke toegang in Microsoft Entra

Use case: deze methode is ideaal voor organisaties met een Microsoft Entra P1/P2-licentie. U blokkeert er legacy authentication mee terwijl apps met moderne verificatie gewoon blijven werken.

1. Ga naar het Entra-beheercentrum (voorheen Azure AD).
2. Ga naar Entra ID > Voorwaardelijke toegang > Beleid.
3. Klik op + Nieuw beleid en voer een duidelijke beleidsnaam in.
4. Wijs gebruikers of groepen toe aan het beleid en sluit noodtoegangsaccounts uit om te voorkomen dat beheerders worden buitengesloten.
5. Selecteer onder Doelresources > Resources > Opnemen de optie Alle resources.
6. Zet bij Voorwaarden > Client-apps de optie Configureren op Ja en selecteer Exchange ActiveSync-clients en Andere clients. Klik op Gereed.
7. Kies onder Toegangsbeheer > Verlenen de optie Toegang blokkeren.
8. Zet Beleid inschakelen op Alleen rapport en klik op Maken. Zet het beleid op Aan zodra u de resultaten hebt gecontroleerd.

Methode 3: via PowerShell (per gebruiker en op tenantniveau)

Use case: met deze aanpak beheert u legacy authentication-protocollen zowel op gebruikersniveau als op organisatieniveau. Ideaal om bulkconfiguraties te scripten, het gebruik van legacy auth te controleren en postvakinstellingen aan te passen.

A. Verbinding maken met Exchange Online PowerShell

Connect-ExchangeOnline -UserPrincipalName [email protected]

B. Legacy auth uitschakelen per protocol

Set-CASMailbox [email protected] -PopEnabled $false -ImapEnabled
$false -MAPIEnabled $false -ActiveSyncEnabled $false -SmtpClientAuthenticationDisabled $true

C. Legacy protocollen organisatiebreed blokkeren (instellingen op serviceniveau)

Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

D. Controleren welke gebruikers nog legacy auth gebruiken

Get-SignInLogs | where {$_.ClientAppUsed -in
@(“POP”, “IMAP”, “SMTP”, “MAPI”, “EWS”)}
Let op: voor aanmeldlogboeken hebt u een Microsoft Entra P1- of P2-licentie nodig.

Methode 4: via de Register-editor (Basic Auth uitschakelen in Office 365)

Use case: deze methode is het meest geschikt om legacy authentication op één device te blokkeren.

A. Moderne verificatie afdwingen aan de clientzijde (bijvoorbeeld in Outlook):

1. Druk op Win + R, typ regedit en druk op Enter.
2. Ga naar: HKEY_CURRENT_USER\Software\Microsoft\Exchange
3. Maak of werk bij: AlwaysUseMSOAuthForAutoDiscover (DWORD): 1
4. Controleer ook:
   HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity
   1. EnableADAL (DWORD): 1
   2. Version (DWORD): 1
5. Start Outlook opnieuw op om de wijzigingen toe te passen.

Met deze instellingen dwingt u de client om moderne verificatie te gebruiken en voorkomt u dat hij terugvalt op basic auth.

Waarschuwing: een verkeerd geconfigureerd register kan het systeem instabiel maken. Ga voorzichtig te werk en maak een back-up van het register voordat u iets wijzigt.

Methode 5: via de opdrachtprompt (statuscontrole en probleemoplossing)

Use case: met deze opdrachten controleert u het gedrag van legacy auth en gaat u tijdens het oplossen van problemen na of protocollen bereikbaar zijn. Ook handig om te zien of legacy poorten nog werken.

A. Het verificatietype van Outlook controleren (via Tasklist):

tasklist /m | findstr auth

B. Een Office-reparatie starten (kan een registergebaseerde wissel van verificatie afdwingen):

control appwiz.cpl

C. Protocoltoegang op netwerkniveau controleren:

telnet outlook.office365.com 143
telnet smtp.office365.com 587
Let op: met de opdrachtprompt zelf kunt u geen verificatieprotocollen uitschakelen, maar u kunt er wel de status van controleren.

Methode 6: via Groepsbeleid (handhaving aan clientzijde)

Use case: deze methode blokkeert basic authentication en dwingt moderne verificatie af in alle Office 365-clients. Aanbevolen voor organisaties met Active Directory die consistente beleidshandhaving aan de clientzijde nodig hebben.

1. Open de Groepsbeleidsbeheerconsole (GPMC).
2. Ga naar: Gebruikersconfiguratie > Beheersjablonen > Microsoft Outlook 2016 > Accountinstellingen > Exchange.
3. Schakel de volgende instellingen in:
   1. Moderne verificatie inschakelen.
   2. Basic authentication niet toestaan.
   3. Terugvallen op basic authentication in de cachemodus van Exchange uitschakelen.
4. Rol de GPO uit met Active Directory of de automatiseringsengine van NinjaOne.
5. Forceer de beleidsupdate: gpupdate /force

Waar u verder op moet letten bij het uitschakelen van legacy authentication in Microsoft 365

Houd bij het uitschakelen van legacy authentication in Office 365 ook rekening met het volgende:

• App-wachtwoorden: als multi-factor authentication (MFA) is ingeschakeld, gebruiken legacy clients mogelijk nog app-wachtwoorden. Ook die aanmeldmethode is inmiddels afgeschaft en zou u moeten uitschakelen.
• Uitzonderingen voor SMTP AUTH: met PowerShell kunt u SMTP AUTH toestaan voor specifieke serviceaccounts.
• Communicatie met gebruikers: informeer gebruikers op tijd voordat u legacy authentication-protocollen uitschakelt, zodat de mailstroom niet wordt verstoord.

Waar u op moet letten

Houd deze valkuilen in gedachten als u onze gids gebruikt:

Tips voor het oplossen van problemen bij het uitschakelen van legacy authentication

• Gebruikers maken verbinding via een legacy protocol: controleer de aanmeldlogboeken van Microsoft Entra ID om te achterhalen welke gebruiker nog verouderde verificatiemethoden gebruikt.
• Outlook vraagt steeds opnieuw om een wachtwoord: controleer of de register- en GPO-instellingen OAuth afdwingen.
• SMTP AUTH mislukt voor geautomatiseerde afzenders: voeg alleen uitzonderingen toe als het echt niet anders kan.
• Vertraging bij het doorvoeren: houd er rekening mee dat sommige Microsoft 365-instellingen pas na maximaal 24 uur actief zijn.

Waarom legacy authentication blokkeren?

Basic Authentication is eenvoudig te implementeren, maar kent verschillende beveiligingsbeperkingen die de methode een makkelijk doelwit maken voor geraffineerde hackers.

Zo ondersteunt de methode geen moderne beveiligingsfuncties als multi-factor authentication (MFA), een van de effectiefste maatregelen tegen ongeoorloofde toegang.

Daarnaast worden referenties niet versleuteld verstuurd, waardoor ze eenvoudig kunnen worden onderschept en gelezen als ze niet via HTTPS worden verzonden.

Belangrijker nog: de methode beschikt niet over de functionaliteit om toegangsrechten per niveau te beperken. Eén set referenties kan meerdere toegangspunten tot data openen.

Zonder extra beveiligingslagen hebben aanvallers alleen een geldige gebruikersnaam en een wachtwoord nodig om cruciale data en informatie te stelen.

NinjaOne-diensten voor sterkere verificatiecontroles

NinjaOne biedt MSP’s en systeembeheerders tools om beleidshandhaving te vereenvoudigen en verificatiecontroles in gedistribueerde omgevingen te versterken.

NinjaOne in combinatie met Microsoft 365 geeft u een volledig geautomatiseerde, schaalbare en compliant aanpak om legacy authentication uit te schakelen zonder dat de productiviteit eronder lijdt.

Beperk kritieke risico’s door verouderde legacy authentication-protocollen in Microsoft 365 uit te schakelen

In het huidige digitale landschap vol risico’s is het uitschakelen van legacy authentication-protocollen geen optie meer, maar een must. Het is een cruciale stap om het beveiligingsbeleid van uw organisatie te versterken.

Naarmate cyberdreigingen zich verder ontwikkelen, zal de vraag naar veilige en toekomstbestendige verificatiestrategieën alleen maar toenemen.

Het uitschakelen van legacy authentication-methoden als Basic Authentication in Microsoft 365 is een belangrijke stap richting sterkere, modernere verificatiemethoden. Het legt de basis voor een robuust cybersecuritybeleid.

Gerelateerde onderwerpen:

• Wat is moderne verificatie?
• Wat is referentiebeheer? Definitie en beste praktijken
• Zo controleert u met PowerShell of moderne verificatie is ingeschakeld in Office 365
• Zo stelt u multi-factor authentication (MFA) in Office 365 in
• Zo maakt u een back-up van Microsoft 365 Exchange Online