Microsoft Exchange Server es un servidor de correo y calendario desarrollado por Microsoft . Se ejecuta exclusivamente en sistemas operativos Windows Server .
La primera versión se denominó Exchange Server 4.0, para posicionarlo como el sucesor del Microsoft Mail 3.5. Exchange inicialmente utilizaba el servicio de directorio X.400, pero luego cambió a Active Directory . Hasta la versión 5.0, venía con un cliente de correo electrónico llamado Microsoft Exchange Client . Este se dejó de usar en favor de Microsoft Outlook .
Exchange Server utiliza principalmente un protocolo propietario llamado MAPI para comunicarse con los clientes de correo electrónico , pero posteriormente agregó compatibilidad con POP3 , IMAP y EAS . El protocolo SMTP estándar se utiliza para comunicarse con otros servidores de correo de Internet.
Exchange Server se ofrece bajo licencia tanto como software local como software como servicio (SaaS). En el caso de la versión local, los clientes compran licencias de acceso de cliente (CAL); en el caso de la versión SaaS, Microsoft cobra una tarifa de servicio mensual.
Microsoft había vendido anteriormente una serie de productos de correo electrónico más simples, pero la primera versión de Exchange (Exchange Server 4.0 en abril de 1996 [1] ) era un sistema de software colaborativo cliente-servidor basado en X.400 completamente nuevo con un único almacén de bases de datos, que también admitía servicios de directorio X.500 . El directorio utilizado por Exchange Server se convirtió finalmente en el servicio Active Directory de Microsoft , un servicio de directorio compatible con LDAP que se integró en Windows 2000 como la base de los dominios de Windows Server .
A partir de 2020, ha habido diez lanzamientos.
La versión actual, Exchange Server 2019, [3] se lanzó en octubre de 2018. A diferencia de otros productos de Office Server 2019, como SharePoint y Skype for Business, Exchange Server 2019 solo se podía implementar en Windows Server 2019 cuando se lanzó. Desde la actualización acumulativa H1 de 2022, Exchange 2019 ha sido compatible con Windows Server 2022. [4] Una de las características clave de la nueva versión es que Exchange Server se puede implementar en Windows Server Core por primera vez. Además, Microsoft ha retirado la función de mensajería unificada de Exchange, lo que significa que los clientes locales de Skype for Business tendrán que usar soluciones alternativas para el correo de voz, como el correo de voz en la nube de Azure.
Exchange Server Enterprise Edition admite la agrupación en clústeres de hasta 4 nodos cuando se utiliza Windows 2000 Server y hasta 8 nodos con Windows Server 2003. Exchange Server 2003 también introdujo la agrupación en clústeres activo-activo, pero sólo para clústeres de dos nodos. En esta configuración, se permite que ambos servidores del clúster estén activos simultáneamente. Esto se opone al modo activo-pasivo más común de Exchange en el que los servidores de conmutación por error de cualquier nodo del clúster no se pueden utilizar en absoluto mientras sus servidores domésticos correspondientes estén activos. Deben esperar, inactivos, a que los servidores domésticos del nodo fallen. Los problemas de rendimiento posteriores con el modo activo-activo han llevado a Microsoft a recomendar que ya no se debería utilizar. [5] De hecho, la compatibilidad con la agrupación en clústeres en modo activo-activo se ha interrumpido con Exchange Server 2007.
La agrupación en clústeres de Exchange (modo activo-activo o activo-pasivo) ha sido criticada debido a que requiere que los servidores en los nodos del clúster compartan los mismos datos. La agrupación en clústeres en Exchange Server proporciona redundancia para Exchange Server como aplicación , pero no para los datos de Exchange . [6] En este escenario, los datos pueden considerarse como un único punto de falla , a pesar de la descripción de Microsoft de esta configuración como un modelo de "nada compartido". [7] Sin embargo, este vacío ha sido llenado por los ISV y los fabricantes de almacenamiento, a través de soluciones de "resiliencia de sitios", como la agrupación geográfica y la replicación asincrónica de datos. [8] Exchange Server 2007 introduce una nueva terminología y configuraciones de clúster que abordan las deficiencias del "modelo de datos compartidos" anterior. [9]
Exchange Server 2007 proporciona compatibilidad integrada para la replicación asincrónica basada en el " envío de registros " de SQL Server [10] en clústeres CCR (replicación continua de clúster), que se basan en clústeres MSCS MNS (Microsoft Cluster Service—Majority Node Set), que no requieren almacenamiento compartido. Este tipo de clúster puede ser económico y desplegarse en uno o "extendido" en dos centros de datos para brindar protección contra fallas en todo el sitio, como desastres naturales. La limitación de los clústeres CCR es la capacidad de tener solo dos nodos y el tercer nodo conocido como "nodo de votante" o testigo de uso compartido de archivos que evita escenarios de "cerebro dividido" [11] , generalmente alojado como un recurso compartido de archivos en un servidor de transporte de concentradores. El segundo tipo de clúster es el clúster tradicional que estaba disponible en versiones anteriores y ahora se lo conoce como SCC (clúster de copia única). En Exchange Server 2007, la implementación de clústeres CCR y SCC se ha simplificado y mejorado; todo el proceso de instalación del clúster se lleva a cabo durante la instalación de Exchange Server. LCR o replicación continua local se ha denominado el "clúster del pobre". Está diseñado para permitir la replicación de datos en una unidad alternativa conectada al mismo sistema y tiene como objetivo brindar protección contra fallas del almacenamiento local. No protege contra el caso en que falle el propio servidor.
En noviembre de 2007, Microsoft lanzó SP1 para Exchange Server 2007. Este Service Pack incluye una característica adicional de alta disponibilidad denominada SCR (Standby Continuous Replication). A diferencia de CCR, que requiere que ambos servidores pertenezcan a un clúster de Windows que normalmente reside en el mismo centro de datos, SCR puede replicar datos en un servidor que no esté agrupado en clúster, ubicado en un centro de datos independiente.
Con Exchange Server 2010, Microsoft introdujo el concepto de grupo de disponibilidad de base de datos (DAG). Un DAG contiene servidores de buzones de correo que se convierten en miembros del DAG. Una vez que un servidor de buzones de correo es miembro de un DAG, las bases de datos de buzones de correo de ese servidor se pueden copiar a otros miembros del DAG. Cuando se agrega un servidor de buzones de correo a un DAG, se instala la función de clúster de conmutación por error de Windows en el servidor y se crean todos los recursos de clúster necesarios.
Al igual que los productos de Windows Server, Exchange Server requiere licencias de acceso de cliente , que son diferentes de las CAL de Windows. Los acuerdos de licencia corporativa, como Enterprise Agreement o EA, incluyen CAL de Exchange Server. También viene como parte de la CAL principal. Al igual que Windows Server y otros productos de servidor de Microsoft, existe la opción de usar CAL de usuario o CAL de dispositivo. Las CAL de dispositivo se asignan a dispositivos (estación de trabajo, computadora portátil o PDA), que pueden ser utilizados por uno o más usuarios. [12] Las CAL de usuario se asignan a los usuarios, lo que les permite acceder a Exchange desde cualquier dispositivo. Las CAL de usuario y de dispositivo tienen el mismo precio, sin embargo, no se pueden usar indistintamente.
Para los proveedores de servicios que buscan alojar Microsoft Exchange, existe un Contrato de licencia para proveedores de servicios (SPLA) disponible mediante el cual Microsoft recibe una tarifa de servicio mensual en lugar de las licencias de acceso al cliente tradicionales. Hay dos tipos de licencias de acceso al cliente de Exchange disponibles: la licencia de acceso al cliente estándar de Exchange y la licencia de acceso al cliente empresarial de Exchange. La licencia de acceso al cliente empresarial es una licencia complementaria a la licencia de acceso al cliente estándar.
Microsoft Exchange Server utiliza un protocolo propietario de llamada a procedimiento remoto (RPC) denominado MAPI/RPC [13] , que fue diseñado para ser utilizado por Microsoft Outlook . Entre los clientes capaces de utilizar las características propietarias de Exchange Server se incluyen Evolution [14], Hiri y Microsoft Outlook. Thunderbird puede acceder al servidor Exchange a través del complemento Owl [15] .
Exchange Web Services (EWS), una alternativa al protocolo MAPI, es un protocolo documentado basado en SOAP introducido con Exchange Server 2007. Exchange Web Services es utilizado por la última versión de Microsoft Entourage para Mac y Microsoft Outlook para Mac; desde el lanzamiento de Mac OS X Snow Leopard, las computadoras Mac que ejecutan OS X incluyen cierto soporte para esta tecnología a través de la aplicación Mail de Apple.
También se puede acceder al correo electrónico alojado en un servidor Exchange mediante los protocolos POP3 e IMAP4 , utilizando clientes como Windows Live Mail , Mozilla Thunderbird y Lotus Notes . Estos protocolos deben estar habilitados en el servidor. También se puede acceder a los buzones de Exchange Server a través de un navegador web, utilizando Outlook Web App (OWA). Exchange Server 2003 también incluía una versión de OWA para dispositivos móviles , llamada Outlook Mobile Access (OMA).
Hasta la versión 5.0 de Microsoft Exchange Server, el cliente de correo electrónico venía incluido con Microsoft Exchange Client. Después de la versión 5.0, este fue reemplazado por Microsoft Outlook, incluido como parte de Microsoft Office 97 y versiones posteriores. [16] Cuando se lanzó Outlook 97, Exchange Client 5.0 todavía estaba en desarrollo y se lanzaría más tarde como parte de Exchange Server 5.0, principalmente porque Outlook solo estaba disponible para Windows. Más tarde, en Exchange Server 5.5, se eliminó Exchange Client y Outlook se convirtió en el único cliente de Exchange. Como parte de Exchange Server 5.5, Outlook se lanzó para otras plataformas.
El cliente "Bandeja de entrada" original de Windows 95 también utilizaba MAPI y se llamaba "Microsoft Exchange". Para evitar confusiones, se lanzó una versión reducida del cliente Exchange que no era compatible con Exchange Server, llamada Windows Messaging ; se incluyó en Windows 95 OSR2 , Windows 98 y Windows NT 4. Se dejó de utilizar debido al cambio a estándares de correo electrónico como SMTP, IMAP y POP3, todos los cuales Outlook Express admite mejor que Windows Messaging.
Se agregó soporte para Exchange ActiveSync (EAS) a Microsoft Exchange Server 2003. Permite que un dispositivo compatible, como un dispositivo Windows Mobile o un teléfono inteligente, sincronice de manera segura el correo, los contactos y otros datos directamente con un servidor Exchange y se ha convertido en un estándar de acceso móvil popular para las empresas debido al soporte de empresas como Nokia y Apple Inc. [17] así como también de sus características de seguridad y cumplimiento del dispositivo.
Se agregó soporte para correo electrónico push con Exchange Server 2003 Service Pack 2 y es compatible con Windows Phone 7, [18] los teléfonos iPhone y Android , [19] pero notablemente no con la aplicación Mail nativa de Apple en macOS .
Las políticas de Exchange ActiveSync permiten a los administradores controlar qué dispositivos pueden conectarse a la organización, desactivar funciones de forma remota y borrar de forma remota dispositivos perdidos o robados. [20]
Las complejidades de administrar Exchange Server (es decir, ejecutar uno o más servidores Exchange, además de servidores de sincronización de Active Directory) hacen que sea atractivo para las organizaciones comprarlo como un servicio alojado.
Varios proveedores [21] han logrado esto durante más de 10 años, pero a partir de junio de 2018 muchos proveedores han comercializado el servicio como "computación en la nube" o "software como servicio". El alojamiento de Exchange permite que Microsoft Exchange Server se ejecute en Internet, también conocido como la nube, y que lo administre un "proveedor de servidor Exchange alojado" en lugar de tener que construir e implementar el sistema internamente.
Exchange Online es Exchange Server que se ofrece como un servicio en la nube alojado por Microsoft. Está basado en las mismas tecnologías que el Exchange Server local y ofrece básicamente los mismos servicios que los proveedores externos que alojan instancias de Exchange Server. [22]
Los clientes también pueden optar por combinar opciones locales y en línea en una implementación híbrida. [23] Las implementaciones híbridas son populares para las organizaciones que no están seguras de la necesidad o urgencia de hacer una transición completa a Exchange Online, y también permiten una migración de correo electrónico escalonada .
Las herramientas híbridas pueden cubrir la pila principal de servidores Microsoft Exchange, Lync , SharePoint, Windows y Active Directory, además de utilizar datos de réplica para informar la experiencia del usuario en la nube. [ cita requerida ]
Exchange Online se proporcionó por primera vez como un servicio alojado en entornos de clientes dedicados en 2005 para seleccionar clientes piloto. [24] Microsoft lanzó una versión multiinquilino de Exchange Online como parte de Business Productivity Online Standard Suite en noviembre de 2008. [25] En junio de 2011, como parte del lanzamiento comercial de Microsoft Office 365 , Exchange Online se actualizó con las capacidades de Exchange Server 2010.
Exchange Server 2010 se desarrolló simultáneamente como producto de servidor y para el servicio Exchange Online.
En febrero de 2020, se descubrió y explotó una vulnerabilidad de ASP.NET que se basaba en una configuración predeterminada que permitía a los atacantes ejecutar código arbitrario con privilegios del sistema, requiriendo únicamente una conexión al servidor y estar conectado a cualquier cuenta de usuario, lo que se puede hacer mediante el relleno de credenciales . [26] [27]
El exploit se basaba en que todas las versiones de Microsoft Exchange utilizaban la misma clave de validación estática para descifrar, cifrar y validar el "View State" de forma predeterminada en todas las instalaciones del software y todas sus versiones, donde el View State se utiliza para conservar temporalmente los cambios en una página individual a medida que se envía información al servidor. Por lo tanto, la clave de validación predeterminada que se utiliza es de conocimiento público y, por lo tanto, cuando se utiliza, la clave de validación se puede utilizar para descifrar y verificar falsamente un View State modificado que contiene comandos agregados por un atacante. [26] [27]
Cuando se inicia sesión como cualquier usuario, se carga cualquier página .ASPX y, al solicitar tanto el ID de sesión del inicio de sesión del usuario como el estado de vista correcto directamente desde el servidor, este estado de vista correcto se puede deserializar y luego modificar para que también incluya código arbitrario y luego el atacante lo verifique falsamente. Este estado de vista modificado se serializa y se devuelve al servidor en una solicitud GET junto con el ID de sesión para mostrar que proviene de un usuario que ha iniciado sesión; en un uso legítimo, el estado de vista siempre debe devolverse en una solicitud POST y nunca en una solicitud GET. Esta combinación hace que el servidor descifre y ejecute este código agregado con sus propios privilegios, lo que permite que el servidor se vea completamente comprometido ya que, por lo tanto, se puede ejecutar cualquier comando. [26] [27]
En julio de 2020, Positive Technologies publicó una investigación que explica cómo los piratas informáticos pueden atacar Microsoft Exchange Server sin explotar ninguna vulnerabilidad. [28] Fue votada como una de las 10 mejores técnicas de piratería web de 2020 según PortSwigger Ltd. [29]
En 2021, se descubrieron vulnerabilidades críticas de día cero en Microsoft Exchange Server. [30] Miles de organizaciones se han visto afectadas por piratas informáticos que utilizan estas técnicas para robar información e instalar código malicioso. [31] Microsoft reveló que estas vulnerabilidades existían desde hacía unos 10 años, [32] pero que se explotaron recién a partir de enero de 2021. El ataque afectó a los sistemas de correo electrónico de unos 250.000 clientes globales, incluidos gobiernos estatales y locales, grupos de expertos en políticas, instituciones académicas, investigadores de enfermedades infecciosas y empresas como bufetes de abogados y contratistas de defensa. [33]
En un incidente separado, una campaña de fuerza bruta en curso desde mediados de 2019 hasta el presente (julio de 2021) [ necesita actualización ] , atribuida por las agencias de seguridad británicas y estadounidenses ( NSA , FBI , CISA ) al GRU , utiliza/utilizó vulnerabilidades de Exchange conocidas públicamente, así como credenciales de cuentas ya obtenidas y otros métodos, para infiltrarse en redes y robar datos. [34] [35]
En septiembre de 2023, Microsoft recibió una notificación de que Microsoft Exchange es vulnerable a la ejecución remota de código , incluidos los ataques de robo de datos. Microsoft aún no ha solucionado estos problemas. [36]