G Suite明年6月将强制第三方app支援OAuth
Google周一宣布从2020年6月起，将禁止不安全app存取G Suite账号，第三方app必须支援OAuth。
不安全app （Less secure app，LSA）是指非Google推出，但以账号密码存取Google账号，包括Google行事历、通讯录或电子邮件的app。Google表示，这种app可能让用户账号被劫持，并给期限要求用户使用支援OAuth协定的app。
这是继今年10月底Google首次封锁不安全app以强化企业用户的安全。10月底起，G Suite从管理员控制台移除可让同一网域下所有用户存取这类app的选项，只有个别用户可以透过账号设定存取。
Google指出，企业员工可能想用iOS 邮件app来收发工作相关邮件，但这可能让G Suite账号陷入被劫持的风险。由于这类存取方式只验证账号、密码，若帐密因为用户和其他网站共用密码而被骇客取得，骇客就可以直接存取G Suite相关资讯。
相反的，app支援OAuth协定让G Suite可以获取更多登入资讯验证是否为用户本人，防止帐密为第三人所用。OAuth也允许G Suite执行管理员定义的登入政策，像是用硬件金钥或启用白名单等安全管控。
Google将以2阶段来执行最新政策。首先，从2020年6月15日起，过去没以LSA登入Google账号的新用户也无法这么做了。这会影响以CalDAV、CardDAV和IMAP、及Exchange ActiveSync等协定登入Google账号的app。2021年2月15日起，Google就会禁止所有以不支援OAuth的第三方app存取G Suite账号。
对管理员而言，从2021年2月15日起，用上述协定管理行动装置的企业确保要求其行动装置管理（MDM）供应商支援OAuth 2.0，才能让行动装置用户登入G Suite。
因此，使用Thunderbird的用户必须先自G Suite账号移除，再重新加入且设定使用OAuth，iOS、MacOS版Mail、Outlook for Mac移除后再加入会自动使用OAuth。Outlook用户则可使用支援G Suite的版本，或使用支援OAuth的Office 365或Outlook 2019。
目前以SMTP协定或LSA传送电子邮件的装置如扫描机app并不强制要求，但Google还是鼓励未来装置还是能支援OAuth为宜。
微软也宣布将在明年10月13日禁止只有帐密验证的第三方app，透过Exchange ActiveSync (EAS)、POP、IMAP和Remote PowerShell存取Office 365/Exchange Online。
