Microsoft a annoncé qu’à partir de juillet 2026, il commencera à bloquer les connexions TLS héritées pour les clients de messagerie POP et IMAP dans Exchange Online.
Le protocole Transport Layer Security est essentiel pour sécuriser les échanges d’informations des utilisateurs lors de l’accès à leurs emails à travers des applications client/serveur. Toutefois, les spécifications de TLS 1.0 et TLS 1.1, introduites respectivement en 1999 et 2006, sont jugées obsolètes et peu sûres pour le chiffrement des communications.
Selon Microsoft, la majorité des utilisateurs ne ressentiront pas les effets de ce changement car à l’heure actuelle, la plupart des connexions POP et IMAP vers Exchange Online utilisent déjà TLS 1.2 ou des versions supérieures.
La société précise : « Nous prévoyons de supprimer complètement le support des versions TLS héritées pour les connexions POP3 et IMAP4. Ces anciennes versions ont été abandonnées depuis un certain temps et ne sont plus considérées comme sécurisées. »
Microsoft a également mentionné que, bien que certaines connexions aient pu être maintenues sur demande, il n’y aura plus de support pour ces versions. Seuls les clients ayant explicitement choisi d’utiliser ces anciens protocoles pourraient être affectés.
Suite à cette suppression, les conséquences suivantes sont à prévoir :
- Les connexions POP3 et IMAP4 nécessiteront TLS 1.2 ou une version ultérieure.
- Les connexions utilisant TLS 1.0 ou TLS 1.1 échoueront.
- Les applications ou dispositifs anciens pourraient rencontrer des problèmes de connexion.
- Il pourrait être nécessaire de mettre à jour des systèmes personnalisés ou intégrés.
TLS 1.2 et supérieur nécessaires pour éviter les interruptions
Les clients d’Exchange Online qui utilisent POP ou IMAP pour accéder à leurs emails sont invités à s’assurer que leurs applications supportent TLS 1.2 ou une version plus récente avant la dépréciation de TLS héritée.
Microsoft recommande également aux utilisateurs de mettre à jour leurs applications personnalisées ou intégrées pour éviter toute incompatibilité.
« Si vous n’êtes pas certain d’utiliser des versions héritées, vérifiez la configuration de vos clients POP et IMAP. Votre fournisseur d’application ou de dispositif pourra confirmer le support de TLS et fournir des conseils de mise à niveau, » a ajouté Microsoft.
Ceci fait partie d’un mouvement plus large visant à sécuriser le trafic Internet contre les attaques d’espionnage réseau par le biais de protocoles de communication modernes.
Lors d’une annonce coordonnée en octobre 2018, Microsoft, Apple, Google et Mozilla avaient indiqué leur intention de mettre fin aux protocoles TLS 1.0 et 1.1 au cours du premier semestre 2020. Microsoft a également débuté l’activation de TLS 1.3 par défaut avec les versions Windows 10 Insider à partir d’août 2020.
L’NSA (National Security Agency) des États-Unis offre également des recommandations pour identifier et remplacer les versions obsolètes du protocole TLS afin de réduire les surfaces d’attaque et prévenir tout accès non autorisé aux données.