Kommunikation mit SharePoint gestört

Eine weitere Analyse führte zu der Erkenntnis, dass nicht ein Wechsel von SigningKeys die Ursache war sondern eine Änderung im SharePoint-AccessToken (JWT) Format durch Microsoft. Diese wird augenscheinlich sukzessive ausgespielt, wodurch die Störung nicht direkt alle M365 Mandanten betrifft.

Im ausgestellten SharePoint-AccessToken liefert Microsoft SharePoint im Header nun einen zusätzlichen Eintrag “nonce”, der zu einer negativen Signaturprüfung des Tokens führt. Da wir nun selbst keine Prüfung des SharePoint mehr vornehmen, stört das Vorhandensein dieses Eintrags nicht mehr das Produktverhalten. Die Validierung und Prüfung des Tokens wird nun durch SharePoint selbst durchgeführt.

Es wurde ein Update für alle Kunden eingespielt. Analysen zeigen, dass die SharePoint-Kommunikation aller betroffenen Kunden wieder normal funktioniert. Sollten Sie weiterhin eine Störung beobachten, kontaktieren Sie bitte unseren Support unter support@d-velop.de.

Wir werden die SharePoint-Kommunikation weiterhin beobachten. Eine Meldung an Microsoft wird vorbereitet.

Es wird eine Lösung entwickelt, mit der die Überprüfung des SharePoint-Tokens nicht mehr im Produkt selber erfolgt. Dies ist ohne eine Verringerung des Sicherheitsniveau möglich, da eine Überprüfung in der SharePoint-API selbst stattfindet.

Für die Kommunikation mit SharePoint rufen wir für jeden aktuellen Benutzer ein Token ab. Dies wird zur Legitimierung gegenüber SharePoint genutzt.

Die von Microsoft zurückgelieferten SharePoint-Tokens weisen bei der Überprüfung mit dem (seitens Microsoft öffentlich bereitgestellten) Public-Key seit kurzem eine invalide Signatur auf. SharePoint selber akzeptiert diesen Token, was darauf hinweist, dass seitens Microsoft eine Aktualisierung des Signing-Keys stattgefunden hat, aber eine Bereitstellung des Public-Keys für externe Akteure noch nicht erfolgte. Dies bestätigt auch eine Überprüfung der Tokens mit öffentlichen Werkzeugen.

Bei einer steigenden Anzahl von Kunden beobachten wir eine gestörte Kommunikation unseres Produktes mit der SharePoint API. Dadurch ist die Nutzung des Produktes aktuell nicht möglich ist.

Durch die sukzessive steigende Anzahl von betroffenen Kunden gehen wir von einer Umstellung von Microsoft aus. Diese wird üblicherweise schrittweise ausgeführt.

Wir arbeiten mit Hochdruck an der Analyse und werden aktualisierte Statusmeldungen an dieser Stelle einstellen.