Microsoft Exchange Server es un servidor de correo y de calendario desarrollado por Microsoft . Se ejecuta exclusivamente en sistemas operativos Windows Server .
La primera versión se llamó Exchange Server 4.0, para posicionarlo como el sucesor del relacionado Microsoft Mail 3.5. Exchange utilizó inicialmente el servicio de directorio X.400 , pero luego cambió a Active Directory . Hasta la versión 5.0, venía incluido con un cliente de correo electrónico llamado Microsoft Exchange Client . Esto se suspendió en favor de Microsoft Outlook .
Exchange Server utiliza principalmente un protocolo propietario llamado MAPI para comunicarse con clientes de correo electrónico , pero posteriormente agregó soporte para POP3 , IMAP y EAS . El protocolo SMTP estándar se utiliza para comunicarse con otros servidores de correo de Internet.
Exchange Server tiene licencia tanto de software local como de software como servicio (SaaS). En el formato local, los clientes compran licencias de acceso de clientes (CAL); Como SaaS, Microsoft cobra una tarifa de servicio mensual.
Microsoft había vendido antes una serie de productos de correo electrónico más sencillos, pero la primera versión de Exchange (Exchange Server 4.0 en abril de 1996 [1] ) era un sistema de trabajo en grupo cliente-servidor basado en X.400 completamente nuevo con un único almacén de bases de datos, que también servicios de directorio X.500 compatibles . El directorio utilizado por Exchange Server finalmente se convirtió en el servicio Active Directory de Microsoft , un servicio de directorio compatible con LDAP que se integró en Windows 2000 como base de los dominios de Windows Server .
A partir de 2020, ha habido diez lanzamientos.
La versión actual, Exchange Server 2019, [3] se lanzó en octubre de 2018. A diferencia de otros productos de Office Server 2019, como SharePoint y Skype for Business, Exchange Server 2019 solo se pudo implementar en Windows Server 2019 cuando se lanzó. Desde la actualización acumulativa 2022 H1, Exchange 2019 es compatible con Windows Server 2022. [4] Una de las características clave de la nueva versión es que Exchange Server se puede implementar en Windows Server Core por primera vez. Además, Microsoft ha retirado la función de mensajería unificada de Exchange, lo que significa que los clientes locales de Skype Empresarial tendrán que utilizar soluciones alternativas para el correo de voz, como el correo de voz en la nube de Azure.
Exchange Server Enterprise Edition admite la agrupación en clústeres de hasta 4 nodos cuando se utiliza Windows 2000 Server y hasta 8 nodos con Windows Server 2003. Exchange Server 2003 también introdujo la agrupación en clústeres activo-activo, pero sólo para clústeres de dos nodos. En esta configuración, ambos servidores del clúster pueden estar activos simultáneamente. Esto se opone al modo activo-pasivo más común de Exchange en el que los servidores de conmutación por error en cualquier nodo del clúster no se pueden utilizar en absoluto mientras sus servidores domésticos correspondientes estén activos. Deben esperar, inactivos, a que fallen los servidores domésticos del nodo. Problemas de rendimiento posteriores con el modo activo-activo han llevado a Microsoft a recomendar que ya no se utilice. [5] De hecho, la compatibilidad con la agrupación en clústeres en modo activo-activo se ha descontinuado con Exchange Server 2007.
La agrupación en clústeres de Exchange (modo activo-activo o activo-pasivo) ha sido criticada debido a que requiere que los servidores en los nodos del clúster compartan los mismos datos. La agrupación en clústeres en Exchange Server proporciona redundancia para Exchange Server como aplicación , pero no para los datos de Exchange . [6] En este escenario, los datos pueden considerarse como un único punto de falla , a pesar de la descripción de Microsoft de esta configuración como un modelo de "nada compartido". [7] Sin embargo, este vacío ha sido llenado por ISV y fabricantes de almacenamiento, a través de soluciones de "resiliencia del sitio", como la agrupación geográfica y la replicación de datos asincrónica. [8] Exchange Server 2007 introduce nueva terminología y configuraciones de clúster que abordan las deficiencias del "modelo de datos compartidos" anterior. [9]
Exchange Server 2007 proporciona soporte integrado para la replicación asincrónica modelada en el " trasvase de registros " de SQL Server [10] en clústeres CCR (replicación continua en clúster), que se basan en clústeres MSCS MNS (servicio de clúster de Microsoft: conjunto de nodos mayoritarios), que no No requiere almacenamiento compartido. Este tipo de clúster puede ser económico e implementarse en uno o "extenderse" en dos centros de datos para proteger contra fallas en todo el sitio, como desastres naturales. La limitación de los clústeres CCR es la capacidad de tener solo dos nodos y el tercer nodo conocido como "nodo votante" o testigo de recurso compartido de archivos que evita escenarios de "escupir en el cerebro" [11] , generalmente alojado como un recurso compartido de archivos en un Hub Transport. Servidor. El segundo tipo de clúster es el tradicional que estaba disponible en versiones anteriores y que ahora se denomina SCC (Single Copy Cluster). En Exchange Server 2007, la implementación de los clústeres CCR y SCC se ha simplificado y mejorado; Todo el proceso de instalación del clúster tiene lugar durante la instalación de Exchange Server. A LCR o replicación continua local se le ha denominado el "clúster de los pobres". Está diseñado para permitir la replicación de datos en una unidad alternativa conectada al mismo sistema y tiene como objetivo brindar protección contra fallas de almacenamiento local. No protege contra el caso en que el servidor falla.
En noviembre de 2007, Microsoft lanzó el SP1 para Exchange Server 2007. Este service pack incluye una característica adicional de alta disponibilidad llamada SCR (Replicación continua en espera). A diferencia de CCR, que requiere que ambos servidores pertenezcan a un clúster de Windows que normalmente reside en el mismo centro de datos, SCR puede replicar datos en un servidor no agrupado, ubicado en un centro de datos separado.
Con Exchange Server 2010, Microsoft introdujo el concepto de grupo de disponibilidad de base de datos (DAG). Un DAG contiene servidores de buzones de correo que se convierten en miembros del DAG. Una vez que un servidor de buzones de correo es miembro de un DAG, las bases de datos de buzones de correo de ese servidor se pueden copiar a otros miembros del DAG. Cuando se agrega un servidor de buzones de correo a un DAG, la función de Windows de agrupación en clústeres de conmutación por error se instala en el servidor y se crean todos los recursos de agrupación en clústeres necesarios.
Al igual que los productos de Windows Server, Exchange Server requiere licencias de acceso de cliente , que son diferentes de las CAL de Windows. Los acuerdos de licencia corporativa, como el Acuerdo Empresarial o EA, incluyen CAL de Exchange Server. También forma parte de Core CAL. Al igual que Windows Server y otros productos de servidor de Microsoft, existe la opción de utilizar CAL de usuario o CAL de dispositivo. Las CAL de dispositivo se asignan a dispositivos (estación de trabajo, computadora portátil o PDA) que pueden ser utilizados por uno o más usuarios. [12] Las CAL de usuario se asignan a los usuarios, lo que les permite acceder a Exchange desde cualquier dispositivo. Las CAL de usuario y de dispositivo tienen el mismo precio; sin embargo, no se pueden usar indistintamente.
Para los proveedores de servicios que buscan alojar Microsoft Exchange, existe un Acuerdo de licencia de proveedor de servicios (SPLA) disponible mediante el cual Microsoft recibe una tarifa de servicio mensual en lugar de las CAL tradicionales. Hay dos tipos de Exchange CAL disponibles: Exchange CAL Standard y Exchange CAL Enterprise. La CAL Enterprise es una licencia complementaria a la CAL estándar.
Microsoft Exchange Server utiliza un protocolo propietario de llamada a procedimiento remoto (RPC) llamado MAPI/RPC , [13] que fue diseñado para ser utilizado por Microsoft Outlook . Los clientes capaces de utilizar las funciones patentadas de Exchange Server incluyen Evolution , [14] Hiri y Microsoft Outlook. Thunderbird puede acceder al servidor Exchange a través del complemento Owl. [15]
Exchange Web Services (EWS), una alternativa al protocolo MAPI, es un protocolo documentado basado en SOAP introducido con Exchange Server 2007. Exchange Web Services es utilizado por la última versión de Microsoft Entourage para Mac y Microsoft Outlook para Mac, desde su lanzamiento. de las computadoras Mac OS X Snow Leopard Mac que ejecutan OS X incluyen cierto soporte para esta tecnología a través de la aplicación Mail de Apple.
También se puede acceder al correo electrónico alojado en un servidor Exchange utilizando los protocolos POP3 e IMAP4 , utilizando clientes como Windows Live Mail , Mozilla Thunderbird y Lotus Notes . Estos protocolos deben estar habilitados en el servidor. También se puede acceder a los buzones de Exchange Server a través de un navegador web, utilizando Outlook Web App (OWA). Exchange Server 2003 también incluía una versión de OWA para dispositivos móviles , llamada Outlook Mobile Access (OMA).
Microsoft Exchange Server hasta la versión 5.0 venía incluido con Microsoft Exchange Client como cliente de correo electrónico. Después de la versión 5.0, fue reemplazado por Microsoft Outlook, incluido como parte de Microsoft Office 97 y posteriores. [16] Cuando se lanzó Outlook 97, Exchange Client 5.0 todavía estaba en desarrollo y se lanzaría más tarde como parte de Exchange Server 5.0, principalmente porque Outlook solo estaba disponible para Windows. Posteriormente, en Exchange Server 5.5, se eliminó el cliente Exchange y Outlook se convirtió en el único cliente Exchange. Como parte de Exchange Server 5.5, Outlook se lanzó para otras plataformas.
El cliente "Bandeja de entrada" original de Windows 95 también usaba MAPI y se llamaba "Microsoft Exchange". Se lanzó una versión simplificada del Cliente Exchange que no es compatible con Exchange Server como Mensajería de Windows para evitar confusiones; se incluyó con Windows 95 OSR2 , Windows 98 y Windows NT 4 . Se suspendió debido al cambio a estándares de correo electrónico como SMTP, IMAP y POP3, todos los cuales Outlook Express admite mejor que la mensajería de Windows.
Se agregó soporte para Exchange ActiveSync (EAS) a Microsoft Exchange Server 2003. Permite que un dispositivo compatible, como un dispositivo Windows Mobile o un teléfono inteligente, sincronice de forma segura el correo, los contactos y otros datos directamente con un servidor Exchange y se ha convertido en un popular estándar de acceso móvil. para empresas gracias al apoyo de empresas como Nokia y Apple Inc. [17] , así como a las funciones de seguridad y cumplimiento de sus dispositivos.
Se agregó soporte para correo electrónico push con Exchange Server 2003 Service Pack 2 y es compatible con Windows Phone 7, [18] los teléfonos iPhone y Android , [19] pero notablemente no para la aplicación de correo nativa de Apple en macOS .
Las políticas de Exchange ActiveSync permiten a los administradores controlar qué dispositivos pueden conectarse a la organización, desactivar funciones de forma remota y borrar de forma remota los dispositivos perdidos o robados. [20]
Las complejidades de administrar Exchange Server (es decir, ejecutar uno o más servidores Exchange, además de servidores de sincronización de Active Directory) hacen que sea atractivo para las organizaciones comprarlo como un servicio alojado.
Esto ha sido posible por parte de varios proveedores [21] durante más de 10 años, pero a partir de junio de 2018 muchos proveedores han comercializado el servicio como "computación en la nube" o "software como servicio". El alojamiento de Exchange permite que Microsoft Exchange Server se ejecute en Internet, también conocido como la nube, y sea administrado por un "proveedor de servidores Exchange alojados" en lugar de crear e implementar el sistema internamente.
Exchange Online es Exchange Server que se ofrece como un servicio en la nube alojado por la propia Microsoft. Se basa en las mismas tecnologías que Exchange Server local y ofrece esencialmente los mismos servicios que los proveedores externos que alojan instancias de Exchange Server. [22]
Los clientes también pueden optar por combinar opciones locales y en línea en una implementación híbrida. [23] Las implementaciones híbridas son populares para las organizaciones que no están seguras de la necesidad o urgencia de realizar una transición completa a Exchange Online y también permiten la migración de correo electrónico escalonada .
Las herramientas híbridas pueden cubrir la pila principal de servidores Microsoft Exchange, Lync , SharePoint, Windows y Active Directory, además de utilizar réplicas de datos para informar sobre la experiencia del usuario en la nube. [ cita necesaria ]
Exchange Online se proporcionó por primera vez como un servicio alojado en entornos de clientes dedicados en 2005 para seleccionar clientes piloto. [24] Microsoft lanzó una versión multiinquilino de Exchange Online como parte de Business Productivity Online Standard Suite en noviembre de 2008. [25] En junio de 2011, como parte del lanzamiento comercial de Microsoft Office 365 , Exchange Online se actualizó con la capacidades de Exchange Server 2010.
Exchange Server 2010 se desarrolló simultáneamente como producto de servidor y para el servicio Exchange Online.
En febrero de 2020, se descubrió y aprovechó una vulnerabilidad de ASP.NET basándose en una configuración predeterminada que permitía a los atacantes ejecutar código arbitrario con privilegios del sistema, requiriendo solo una conexión al servidor e iniciar sesión en cualquier cuenta de usuario, lo que se puede hacer a través de una credencial . Relleno . [26] [27]
El exploit dependía de que todas las versiones de Microsoft Exchange usaran la misma clave de validación estática para descifrar, cifrar y validar el 'Estado de vista' de forma predeterminada en todas las instalaciones del software y todas sus versiones, donde el Estado de vista se usa para preservar temporalmente cambia en una página individual a medida que se envía información al servidor. Por lo tanto, la clave de validación predeterminada utilizada es de conocimiento público y, por lo tanto, cuando se usa, la clave de validación se puede usar para descifrar y verificar falsamente un estado de vista modificado que contiene comandos agregados por un atacante. [26] [27]
Cuando se inicia sesión como cualquier usuario, se carga cualquier página .ASPX y, al solicitar tanto el ID de sesión del usuario como el estado de vista correcto directamente desde el servidor, este estado de vista correcto se puede deserializar y luego modificar para incluir también datos arbitrarios. código y luego ser verificado falsamente por el atacante. Este estado de vista modificado luego se serializa y se devuelve al servidor en una solicitud GET junto con el ID de sesión para mostrar que proviene de un usuario que inició sesión; en uso legítimo, el estado de la vista siempre debe devolverse en una solicitud POST y nunca en una solicitud GET. Esta combinación hace que el servidor descifre y ejecute este código agregado con sus propios privilegios, lo que permite que el servidor quede completamente comprometido ya que, por lo tanto, se puede ejecutar cualquier comando. [26] [27]
En julio de 2020, Positive Technologies publicó una investigación que explica cómo los piratas informáticos pueden atacar Microsoft Exchange Server sin explotar ninguna vulnerabilidad. [28] Fue votada entre las 10 principales técnicas de piratería web de 2020 según PortSwigger Ltd. [29]
En 2021, se descubrieron exploits críticos de día cero en Microsoft Exchange Server. [30] Miles de organizaciones se han visto afectadas por piratas informáticos que utilizan estas técnicas para robar información e instalar códigos maliciosos. [31] Microsoft reveló que estas vulnerabilidades habían existido durante unos 10 años, [32] pero no fueron explotadas hasta enero de 2021 en adelante. El ataque afectó a los sistemas de correo electrónico de unos 250.000 clientes globales, incluidos gobiernos estatales y locales, grupos de expertos en políticas, instituciones académicas, investigadores de enfermedades infecciosas y empresas como bufetes de abogados y contratistas de defensa. [33]
En un incidente separado, una campaña de fuerza bruta en curso desde mediados de 2019 hasta el presente (julio de 2021) [ necesita actualización ] , atribuida por las agencias de seguridad británicas y estadounidenses ( NSA , FBI , CISA ) al GRU , utiliza/utiliza información públicamente conocida. Intercambie vulnerabilidades, así como credenciales de cuentas ya obtenidas y otros métodos, para infiltrarse en redes y robar datos. [34] [35]
En septiembre de 2023, se notificó a Microsoft que Microsoft Exchange es vulnerable a la ejecución remota de código, incluidos ataques de robo de datos. Microsoft aún no ha solucionado estos problemas. [36]