Meerdere beveiligingsonderzoekers en een Amerikaanse senator hebben kritiek geuit op Microsoft omdat het klanten die via logbestanden willen controleren of hun Exchange Online-omgeving is gecompromitteerd extra laat betalen. Vorige week meldde Microsoft in een zeer summiere verklaring dat aanvallers toegang hadden gekregen tot e-mails van klanten van Exchange Online, waaronder overheden.
De aanvallers hadden door middel van vervalste tokens een maand lang toegang tot allerlei e-mailaccounts die bij de clouddienst van Microsoft werden gehost. Voor het maken van de vervalste tokens gebruikten de aanvallers een signing key die ze op nog altijd onbekende wijze in handen kregen. Daarnaast bleek dat door een "validatieprobleem" de valse tokens ook te gebruiken waren om toegang tot Exchange Online-omgevingen te krijgen.
De Amerikaanse overheid kwam vervolgens met het advies aan organisaties om hun Exchange Online-omgeving te monitoren. Volgens de FBI en het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security is misbruik alleen aan de hand van "MailItemsAccessed" events in de logbestanden te detecteren. Deze optie is echter alleen beschikbaar voor klanten die van een Enterprise E5-licentie gebruikmaken.
"De noodzaak voor E5 om alleen logs voor Azure te krijgen is belachelijk", zegt onderzoeker Matt Suiche op Twitter. "Het feit dat Microsoft alleen degenen die extra voor E5-licenties betalen de relevante logbestanden laat zien, is wel een dingetje", zegt onderzoeker Will Dormann tegenover Ars Technica. "Als je geen betalende E5-klant bent, verlies je de mogelijkheid om te zien dat je bent gecompromitteerd." Naast onderzoekers is er ook kritiek vanuit de Amerikaanse politiek. De Amerikaanse senator Ron Wyden vindt dat Microsoft alle klanten volledige forensische mogelijkheden moet geven. "Klanten laten betalen voor premium features die nodig zijn om niet gehackt te worden, is als het verkopen van een auto en dan extra vragen voor gordels en airbags."
Deze posting is gelocked. Reageren is niet meer mogelijk.