Nâng cao Bảo mật mạng: Microsoft khai tử Basic Auth SMTP

Microsoft đang thực hiện một thay đổi lớn về bảo mật mạng cho khách hàng sử dụng email đám mây, khi Exchange Online tiến tới loại bỏ xác thực cơ bản (Basic Authentication) SMTP AUTH cho tất cả các tenant. Sự chuyển đổi này nhằm mục tiêu loại bỏ một trong những phương pháp đăng nhập hệ thống email cũ và yếu nhất, nơi tên người dùng và mật khẩu được truyền dưới dạng rõ ràng, dễ dàng bị kẻ tấn công đánh cắp nếu lưu lượng bị chặn hoặc thông tin đăng nhập được tái sử dụng.

Sự thay đổi này thể hiện cam kết của Microsoft trong việc cải thiện bảo mật mạng cho nền tảng đám mây của họ, giảm thiểu các điểm yếu thường bị khai thác.

Sự cần thiết của việc ngừng hỗ trợ SMTP AUTH Basic Authentication

Trong nhiều năm, các tác nhân đe dọa đã lạm dụng SMTP AUTH với xác thực cơ bản để thực hiện các cuộc tấn công brute-force mật khẩu, chiến dịch password-spraying và chiếm đoạt tài khoản để gửi email lừa đảo (phishing) và spam trên quy mô lớn.

Phản ứng trước tình trạng lạm dụng liên tục này, các nhà nghiên cứu của Microsoft đã xác định xác thực cơ bản cho SMTP là một điểm yếu dai dẳng trong nhiều tenant, ảnh hưởng đến tổng thể bảo mật mạng. Đặc biệt là nơi các ứng dụng, thiết bị và script kế thừa vẫn dựa vào các giao thức cũ không hỗ trợ các kiểm soát bảo mật hiện đại.

SMTP AUTH Basic Authentication: Điểm yếu cố hữu

Khi kẻ tấn công có được thông tin đăng nhập hợp lệ cho SMTP AUTH, chúng có thể gửi email dưới danh nghĩa người dùng đáng tin cậy. Điều này bỏ qua nhiều bộ lọc bảo mật và gây tổn hại đến danh tiếng cũng như khả năng gửi email của một tổ chức.

Việc loại bỏ xác thực cơ bản không chỉ là dọn dẹp giao thức mà còn là một bước quan trọng để củng cố bảo mật mạng và giảm thiểu rủi ro bảo mật email đám mây.

Các nhà phân tích của Microsoft còn lưu ý rằng các lần đăng nhập SMTP AUTH cơ bản thường thiếu các biện pháp bảo vệ mạnh mẽ như xác thực đa yếu tố (MFA) và truy cập có điều kiện (conditional access). Điều này khiến các tổ chức dễ bị tấn công ngay cả khi các phần khác trong môi trường của họ đã được bảo vệ chặt chẽ. Thông báo chính thức từ Microsoft cung cấp thêm chi tiết về lộ trình này.

Bởi vì SMTP AUTH xác thực cơ bản thường được bật “chỉ để duy trì hoạt động” cho máy in, hệ thống nghiệp vụ (line-of-business systems) và công cụ của bên thứ ba, nó đã trở thành mục tiêu ưa thích của kẻ tấn công đang tìm kiếm mắt xích yếu nhất.

Bằng cách buộc chuyển đổi khỏi xác thực cơ bản, Microsoft đặt mục tiêu đóng lại lỗ hổng bảo mật lâu đời này trước khi nhiều tenant khác bị chiếm quyền điều khiển tài khoản và bị xâm nhập. Các trường hợp tấn công tương tự cho thấy tầm quan trọng của việc loại bỏ các phương thức xác thực yếu trong hệ thống.

Các cuộc tấn công mạng khai thác SMTP AUTH Basic Authentication

Trên thực tế, kẻ tấn công coi SMTP AUTH xác thực cơ bản là một điểm vào dễ dàng hơn là một con đường lây nhiễm mã độc truyền thống trong các cuộc tấn công mạng.

Kỹ thuật tấn công phổ biến

Chúng thường sử dụng các công cụ tự động để thực hiện tấn công password spraying và credential stuffing nhắm vào các điểm cuối SMTP.

Các cuộc tấn công này thử nghiệm một lượng lớn mật khẩu yếu hoặc mật khẩu đã được sử dụng lại trên nhiều tài khoản cho đến khi một trong số chúng thành công. Báo cáo gần đây cũng đã nhấn mạnh sự gia tăng của các cuộc tấn công credential stuffing.

Tác động và hậu quả

Khi thông tin đăng nhập hợp lệ được tìm thấy, kẻ tấn công sẽ xác thực qua SMTP với xác thực cơ bản và bắt đầu gửi các email lừa đảo (phishing) hoặc tấn công lừa đảo qua email doanh nghiệp (Business Email Compromise – BEC) với số lượng lớn.

Những tin nhắn này có vẻ như đến từ bên trong tổ chức của nạn nạn nhân. Từ đó, thư độc hại có thể chứa các liên kết đến payload, đánh cắp thêm thông tin đăng nhập hoặc lừa người dùng thực hiện các khoản thanh toán gian lận.

Điều này biến một giao thức yếu thành một kênh xâm nhập rộng lớn, gây ảnh hưởng nghiêm trọng đến bảo mật mạng và an toàn thông tin của tổ chức, tạo ra những hậu quả khó lường.

Lộ trình chuyển đổi và các biện pháp bảo mật khuyến nghị

Để đảm bảo quá trình chuyển đổi diễn ra suôn sẻ, Microsoft đã công bố một lộ trình rõ ràng, cho phép các tổ chức có đủ thời gian để chuẩn bị cho sự nâng cấp bảo mật mạng này.

Lịch trình loại bỏ SMTP AUTH Basic Authentication

Theo lộ trình đã cập nhật, SMTP AUTH Basic Authentication sẽ không thay đổi cho đến tháng 12 năm 2026. Điều này cung cấp thời gian cho các tổ chức để phát hiện và hiện đại hóa tất cả các quy trình công việc vẫn phụ thuộc vào nó.

Vào cuối tháng 12 năm 2026, nó sẽ bị vô hiệu hóa theo mặc định cho các tenant hiện có. Mặc dù vậy, quản trị viên vẫn có thể tạm thời kích hoạt lại trong khi quá trình di chuyển hoàn tất.

Đối với các tenant mới được tạo sau tháng 12 năm 2026, SMTP AUTH Basic Authentication sẽ không khả dụng theo mặc định. Xác thực hiện đại dựa trên OAuth sẽ là phương pháp được hỗ trợ. Các lỗ hổng trong quy trình OAuth cần được lưu ý và quản lý chặt chẽ, nhưng nhìn chung OAuth vẫn là một bước tiến lớn trong bảo mật.

Hướng tới xác thực hiện đại

Việc chuyển sang xác thực hiện đại không chỉ loại bỏ các lỗ hổng của xác thực cơ bản mà còn mang lại nhiều lợi ích bảo mật vượt trội. Giao thức OAuth hỗ trợ các tính năng bảo mật tiên tiến như xác thực đa yếu tố (MFA) và truy cập có điều kiện, giúp tăng cường đáng kể khả năng phòng thủ chống lại các cuộc tấn công mạng tinh vi.

Để đảm bảo sự chuyển đổi thành công, các tổ chức nên khẩn trương bắt đầu quá trình kiểm tra và cập nhật các ứng dụng, thiết bị, và script của mình. Việc đảm bảo chúng tương thích hoàn toàn với xác thực hiện đại là tối quan trọng. Đây là một phần không thể thiếu trong chiến lược bảo mật mạng tổng thể và bền vững.

Quản trị viên cần thực hiện một cuộc kiểm kê kỹ lưỡng để xác định tất cả các điểm phụ thuộc vào SMTP AUTH trong môi trường của họ. Sau đó, họ cần lên kế hoạch chi tiết để di chuyển sang OAuth hoặc các phương pháp xác thực an toàn hơn. Điều này bao gồm việc kiểm kê toàn diện các dịch vụ email, máy in mạng, các ứng dụng tùy chỉnh và bất kỳ hệ thống cũ nào khác sử dụng SMTP AUTH.

Ví dụ, để quản lý cài đặt SMTP AUTH trong Exchange Online, quản trị viên có thể sử dụng PowerShell. Lệnh sau có thể được dùng để kiểm tra trạng thái SMTP AUTH của một hộp thư:

Get-EXOCasMailbox -Identity "[email protected]" | Select-Object SmtpClientBasicAuthEnabled

Để tắt SMTP AUTH cho một hộp thư cụ thể:

Set-EXOCasMailbox -Identity "[email protected]" -SmtpClientBasicAuthEnabled $false

Để tắt SMTP AUTH cho toàn bộ tenant, sử dụng lệnh sau. Lưu ý rằng lệnh này sẽ ảnh hưởng đến toàn bộ tenant và cần được thực hiện cẩn thận với sự hiểu biết đầy đủ về các tác động:

Set-TransportConfig -SmtpClientAuthDisabled $true

Việc thực hiện các thay đổi cấu hình này một cách có hệ thống là cần thiết để nâng cao bảo mật mạng và giảm thiểu các vectơ tấn công tiềm ẩn trong môi trường Exchange Online.