Für Microsoft Lync keine automatische Erkennung von SIP-Servern und keine sichere Verbindung mit SIP-Servern zulassen, die ...

"Für Microsoft Lync keine automatische Erkennung von SIP-Servern und keine sichere Verbindung mit SIP-Servern zulassen, die keine vollqualifizierten Standarddomänennamen (FQDN) haben. 

Hinweis: Diese Richtlinieneinstellung wird nur angewendet, wenn Microsoft Lync die automatische Konfiguration verwendet, um bei DNS eine Liste von SIP-Servern abzufragen, und nur wenn Microsoft Lync via TLS-Übertragungsprotokoll mit dem SIP-Server kommuniziert. In diesem Fall hängt die Gruppe der unterstützten Server-FQDNs vom SIP-URI des Benutzers ab, der Microsoft Lync startet.

Wenn Sie diese Richtlinieneinstellung beispielsweise deaktivieren oder nicht konfigurieren und der SIP-URI des Benutzers \"SIP:[email protected]\" lautet, kann Microsoft Lync nur dann mit einem SIP-Server über das TLS-Übertragungsprotokoll kommunizieren, wenn dessen FQDN \"EXAMPLE.COM\" oder \"SIP.EXAMPLE.COM\" lautet. Das heißt, der FQDN des Servers muss genau dem Domänenteil des SIP-URIs des Benutzers entsprechen. Andernfalls muss der FQDN \"SIP.\" gefolgt vom Domänenteil des SIP-URIs des Benutzers lauten. Dies verhindert das Sicherheitsrisiko eines Man-in-the-Middle-Angriffs, bei dem ein Angreifer die UDP-Nachricht ermitteln kann, die der Client für die DNS-Abfrage verwendet, und eine Antwort mit dem Namen eines nicht autorisierten SIP-Servers an den Client sendet. Der Angreifer kann dann die Identität eines vertrauenswürdigen Benutzers annehmen, oder der Server kann den Client dazu bringen, sich mit einer schwachen Verschlüsselung zu authentifizieren. 

Wenn Sie diese Richtlinieneinstellung jedoch aktivieren, kann Microsoft Lync via TLS-Übertragungsprotokoll mit jedem SIP-Server kommunizieren, der einen FQDN hat, der mit dem Domänenteil des SIP-URIs des Benutzers endet. Im genannten Beispiel wird Microsoft Lync durch Aktivieren dieser Richtlinieneinstellung die Kommunikation mit Servern mit den Namen \"SIP.DIVISION.EXAMPLE.COM\" oder \"LC.EXAMPLE.COM\" erlaubt. Ein Angreifer kann jedoch auf die anfängliche DNS-Abfrage eine Antwort senden, die den Servernamen \"ATTACKER.EXAMPLE.COM\" enthält.

Hinweis: Diese Richtlinieneinstellung kann sowohl unter \"Computerkonfiguration\" als auch unter \"Benutzerkonfiguration\" festgelegt werden, die Einstellung unter \"Computerkonfiguration\" hat jedoch Vorrang.

Hinweis: In Communicator 2.0 Beta 3 ist diese Einstellung standardmäßig deaktiviert, und Communicator ist möglicherweise Man-in-the-Middle-Angriffen ausgesetzt. Es wird dringend empfohlen, diese Richtlinie zu aktivieren."