Si migro de dovecot / imaps para intercambiar, ¿estaré menos seguro?

1

Tengo un cliente que usa Terminal Server y tendría sentido usar Exchange para el correo electrónico también, en lugar de la situación actual con postfix / dovecot ejecutándose en una VM de Linux, especialmente porque el cliente es una organización benéfica y obtiene Microsoft Software casi gratis.

Sin embargo, me preocupan algunas cosas porque tengo una experiencia limitada con Exchange:

  • Tienen muchos usuarios remotos, incluidas las conexiones de BlackBerry / iPhone
  • La contraseña de imaps es actualmente diferente a su inicio de sesión de Windows, y me gustaría que siga siendo así si es posible.
  • He escuchado historias de miedo (hace unos años) de que Exchange es menos seguro

¿En principio, es Exchange con imaps habilitado menos seguro que usar dovecot? ¿Qué tal el acceso MAPI con clientes remotos de Outlook suponiendo que es posible?

    
pregunta Jack Douglas 20.04.2012 - 14:34
fuente

2 respuestas

2

Por supuesto, tendrías que hacer una evaluación de riesgos detallada para responder esta pregunta, pero algunos puntos pueden tranquilizarte:

  • Exchange siempre cifra todo el tráfico RPC, cliente-servidor y servidor-servidor. Se basa en el sistema operativo para esto, por lo que el algoritmo varía: creo que normalmente es RSA o CAST?
  • Y siempre cifra todo el tráfico HTTP interno con TLS.
  • De forma predeterminada, siempre intenta utilizar TLS cuando habla con hosts de correo externos (y puede evitar que vuelva a SMTP simple por host)
  • Todos los clientes remotos se conectan a través de HTTPS.
  • Exchange tiene enganches para una estrecha integración con los sistemas anti-malware, anti-spam y de respaldo, ya sea de MS u otros proveedores.
  • Exchange tiene una estrecha integración con BES para Blackberry; y los iPhones usan Microsoft ActiveSync para su correo electrónico push, que fue diseñado para Exchange.
  • Exchange tiene opciones de topología que le permiten colocar un servidor perimetral de funcionalidad limitada en la DMZ.
  • Exchange admite IRM y S / MIME para cifrar / firmar mensajes individuales.
  • Exchange tiene características de capacidad de recuperación / capacidad de recuperación bastante completas
  • Exchange tiene opciones de cumplimiento integradas (por ejemplo, retención y descubrimiento de correo electrónico)

Para su pregunta específica de Outlook, Outlook tiene una función llamada Outlook en cualquier lugar que envuelve el tráfico RPC en HTTPS. Se usa automáticamente cuando el cliente detecta que no está dentro de la red.

Sin embargo, Exchange no realiza ninguna autenticación en sí misma; depende completamente de Active Directory, de hecho, en realidad no existe una "cuenta de Exchange", por lo que tener contraseñas de inicio de sesión y de correo electrónico por separado no es trivial. Creo que algunas personas lo administran al tener un dominio de AD separado para Exchange, pero esto significa mucho trabajo adicional.

    
respondido por el Graham Hill 20.04.2012 - 16:24
fuente
2

La seguridad de Exchange es de primera categoría y es examinada por muchas grandes empresas / gobiernos ... pero como cualquier producto, es tan seguro como la implementación.

Asegúrese de cubrir los conceptos básicos de seguridad:

  • El IMAP seguro aún será posible con el nombre de usuario / contraseña de AD, aunque es posible que desee considerar MAPI para una experiencia más rica.

  • Forefront Antispam / Phishing (es posible que desee ver si puede obtener la versión alojada de Forefront a bajo costo desde MSFT)

  • Outlook 2010 + todos los parches y paquetes de servicio necesarios. Un proceso llamado Detección automática configurará automáticamente Outlook para el acceso remoto seguro y el acceso en la LAN

  • Los usuarios de OWA deben usar la última versión de su navegador para evitar las vulnerabilidades genéricas del navegador cuando un usuario hace clic en un enlace en un mensaje de correo electrónico

    • Tenga en cuenta que Exchange 2010 tiene como valor predeterminado "MAPI cifrado", por lo que solo se pueden usar versiones seguras de Outlook (Outlook 2007 o más reciente).

Información miscelánea:

  • Si está utilizando Outlook en un Terminal Server, tenga en cuenta que todo el buzón puede descargarse localmente si el "Modo en caché" está habilitado.

    Esto puede consumir una gran cantidad de espacio de disco local en el Servidor de Termainal y posiblemente causar la contención de IO. Para obtener más información sobre este tema, puede hacer preguntas en el siguiente sitio web enlace

respondido por el random65537 20.04.2012 - 17:39
fuente

Lea otras preguntas en las etiquetas