随着设备普及持续激发消费者想象力，并引发所谓的“自带设备”（BYOD）革命，全球许多IT部门正面临日益增加的安全考量。尽管组织为节约成本和提升生产力鼓励BYOD，但制定支持BYOD的强健安全策略同样至关重要。

上周，多家媒体报道了欧洲议会遭遇攻击的事件，据称部分成员的电子邮件遭非法访问。初期媒体推测错误地暗示攻击利用了Microsoft Exchange ActiveSync中的漏洞。随着攻击细节逐渐明朗，根据我们的初步评估，我们确定这并非ActiveSync协议本身的漏洞；问题在于第三方设备如何处理证书认证。

此类攻击曾在Black Hat 2012会议上讨论过。新版Windows Phone的增强功能可自动阻止此类攻击。事实上，Microsoft在Windows Phone上对Exchange ActiveSync的实现定期保护客户免受此类攻击，因为它不允许设备信任恶意证书。

第三方软件开发者从Microsoft许可并可修改Exchange ActiveSync，以确保客户能在任何设备上接收电子邮件。第三方开发者负责确保其Exchange ActiveSync协议实现的安全性。尽管如此，客户也可以通过以下方式帮助保护自己免受类似攻击：

• 熟悉“理解Exchange ActiveSync安全”
• 配置Exchange ActiveSync使用可信证书
• 基于设备型号和类型设置限制，仅允许实现良好的客户端
• 明确定义策略，确保设备支持所需的安全功能，并仅使用不接受自动或提示证书续订的设备**

我们强烈鼓励所有评估BYOD业务策略的客户确保他们充分了解带入组织的各种设备的安全特性和能力。

Matt Thomlinson
总经理
可信计算安全部门