微軟、Google雙雙延後關閉不安全驗證的計畫

考量武漢肺炎疫情以及在家上班模式對大眾的影響，繼延後多項既定措施後，本周微軟與Google，再度宣布關閉安全性不足驗證的措施，將其推遲到日後。微軟延後關閉Exchange Online的基礎驗證（Basic Authentication）到明年下半，而Google禁止G Suite用戶存取不安全App的計畫，也將日後再說。

微軟去年宣布，將於今年10月關閉Exchange Online現有租戶的基礎驗證。在基礎驗證中，App會在每次呼叫時傳送用戶名稱及密碼，雖然很容易設定，但也容易讓駭客竊取用戶帳密，因此微軟希望推動以OAuth 2.0為基礎的身份驗證及授權。微軟預定今年10月13日終止Exchange Web Services（EWS）、Exchange ActiveSync（EAS）、POP、IMAP及 Remote PowerShell對基礎驗證的支援。

受到武漢肺炎打亂企業運作之故，微軟將把期限延到2021年下半，詳細日期則視疫情發展而定。

但針對新建立的租戶，微軟仍然會預設關閉基礎驗證。且現有租戶若已沒有用量紀錄者，微軟也會按原定計畫從今年10月關閉基礎驗證。此外，微軟也說會持續完成推動POP、IMAP、SMTP AUTH，以及 Remote PowerShell對OAuth 2.0的支援。

無獨有偶，Google也在本周宣布禁止G Suite用戶存取不安全應用（less secure App，LSA）計畫，無法如原定時程執行。

不安全應用（Less secure App，LSA）是指非Google推出、但以帳號密碼存取Google帳號，包括Google行事曆、通訊錄或電子郵件的第三方App。Google認為這種App可能讓用戶帳號被劫持，去年12月Google要求所有G Suite用戶，必須使用支援OAuth協定的App。

這項計畫原本要從今年6月15日啟動。屆時G Suite用戶必須使用支援OAuth的新App，才能登入Google帳號。而從2021年2月15日起，Google將禁止所有以不支援OAuth的第三方App（包括現有及新App）存取G Suite帳號。這影響以CalDAV、CardDAV和IMAP、及Exchange ActiveSync等協定登入Google帳號的App。

但受到COIVD-19影響，Google說上述時程都不適用了，且擴及所有App，包括以IMAP或 Google Sync存取的Apple iOS Mail App，Google會日後再提供新實施時程。

不過為了安全起見，Google仍然建議用戶轉為使用OAuth App，因為G Suite系統更容易辨識用戶身份，防止被他人冒名使用，而且也允許G Suite執行管理員定義的登入政策，像是使用硬體安全金鑰等。

因為武漢肺炎攪局，兩大軟體公司已經陸續宣布暫緩Edge，以及Chrome 81功能開發，展延部份MCSA、MCSD、MCSE認證效期半年，本周Google還宣布Chrome 80暫緩實行跨網域cookies政策。