A tot l'ecosistema global de Microsoft, que comprèn Microsoft 365, Azure, Windows Hello i més de mil milions de comptes d'identitat de consumidors, les contrasenyes es reconeixen com el vector principal de vulnerabilitat davant de filtracions (més del 80% de les intrusions empresarials tenen el seu origen en el farciment de credencials o la reutilització de contrasenyes). Microsoft Authenticator ha evolucionat des d'un simple client TOTP cap a un punt final centralitzat de confiança zero (Zero Trust) sense contrasenya.
Requereix introduir a l'aplicació mòbil els números que es mostren al navegador, neutralitzant el bombardeig de notificacions push.
L'autorització biomètrica combinada amb claus emmagatzemades a l'enclavament de maquinari del dispositiu elimina del tot les contrasenyes.
Les credencials de comptes de treball o educatius s'exclouen deliberadament de les còpies al núvol per motius de compliment.
Fatiga de MFA (bombardeig push) i el mandat de coincidència de números
Històricament, el mecanisme d'autenticació multifactor més còmode per a l'usuari era la sol·licitud push binària: una notificació entrant amb les opcions simples d'«Aprovar» o «Denegar». En entorns de producció reals, aquesta interfície sense friccions va crear una vulnerabilitat crítica: la fatiga de MFA (també anomenada bombardeig de notificacions o push bombing).
1. Anatomia de la intrusió per bombardeig push del grup Lapsus$
En intrusions destacades contra empreses multinacionals (incloses Uber i Okta), els atacants van obtenir contrasenyes legítimes d'empleats a través de filtracions de credencials a la xarxa fosca. Per eludir la sol·licitud secundària per push, els atacants van desplegar scripts automatitzats que generaven desenes de peticions push a les dues de la matinada. Davant de la confusió, la molèstia o la interrupció del son, les víctimes finalment van prémer «Aprovar» només per silenciar el telèfon, lliurant immediatament l'accés a la xarxa corporativa a l'adversari.
2. Aplicació obligatòria global de la coincidència de números per part de Microsoft
Per eliminar aquest vector d'atac, Microsoft va fer obligatòria la coincidència de números (Number Matching) a tots els inquilins (tenants) de Microsoft Entra ID (abans Azure AD) i comptes personals:
- Visualització dinàmica de números: La pantalla d'inici de sessió del navegador mostra un número pseudoaleatori de 2 dígits (per exemple,
73). - Introducció manual a l'aplicació: La notificació mòbil demana a l'usuari que desbloquegi el dispositiu i introdueixi el número exacte en un teclat interactiu. No hi ha cap botó genèric d'«Aprovar».
- Geolocalització contextual i nom de l'aplicació: La sol·licitud mostra l'aplicació que demana l'accés (per exemple, «Microsoft Office Web») i l'origen geogràfic aproximat basat en la cerca d'IP.
Com que un atacant remot no pot veure el número que es mostra a la pantalla física de la víctima, i la víctima desprevinguda no pot endevinar quin número ha d'introduir, la coincidència de números redueix a zero la taxa d'èxit de l'explotació mitjançant bombardeig push automatitzat.
Arquitectura d'inici de sessió telefònic sense contrasenya
L'autèntica autenticació sense contrasenya (passwordless) no consisteix merament a emplenar automàticament credencials en segon pla. Es basa en la criptografia asimètrica de clau pública estandarditzada sota FIDO2, transformant el vostre dispositiu mòbil en un enclavament de seguretat protegit per maquinari.
Flux criptogràfic de l'inici de sessió telefònic:
- Fase de registre (Enrollment): Activar l'inici de sessió telefònic ordena al maquinari de seguretat del telèfon intel·ligent (Apple Secure Enclave o Android StrongBox/TEE) que generi un parell de claus criptogràfiques asimètriques. La clau privada roman aïllada permanentment al maquinari; la clau pública es registra al núvol d'identitats de Microsoft.
- Difusió del desafiament (Challenge): Quan introduïu el vostre nom d'usuari en un navegador, Microsoft emet un desafiament criptogràfic efímer (nonce) tramès mitjançant APNs/FCM al vostre dispositiu registrat.
- Autorització biomètrica: L'usuari valida la seva identitat localment mitjançant Face ID, Touch ID o el PIN de bloqueig del sistema operatiu. Aquest gest de maquinari autoritza l'enclavament segur a accedir a la clau privada.
- Asserció criptogràfica: La clau privada signa el desafiament del servidor i retorna la signatura a la passarel·la d'identitat de Microsoft. La passarel·la verifica la signatura utilitzant la clau pública registrada prèviament i atorga l'accés. Cap contrasenya no viatja mai per la xarxa.
- Afegiu el vostre compte personal a Microsoft Authenticator i activeu «Configura l'inici de sessió pel telèfon».
- A l'ordinador, aneu a la configuració de seguretat de Microsoft:
account.live.com/proofs/manage/additional. - A l'apartat «Seguretat addicional», busqueu Compte sense contrasenya i seleccioneu Activa.
- Completeu la sol·licitud de coincidència de números al vostre dispositiu mòbil. La vostra contrasenya s'eliminarà permanentment de les bases de dades d'identitat de Microsoft!
Comptes personals de Microsoft (MSA) vs. de treball o educatius (Entra ID)
Sovint els usuaris gestionen múltiples comptes dins d'una sola instància d'Authenticator. L'ús de comptes personals de consumidor juntament amb identitats corporatives d'Entra ID implica models de confiança clarament diferenciats.
| Mètrica d'avaluació | Compte personal de Microsoft (MSA) | Compte de treball / educatiu (Entra ID) |
|---|---|---|
| Àmbit d'identitat | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| Governança administrativa | Sobirania de l'usuari final | Administrador global de l'inquilí i MDM d'Intune |
| Polítiques d'Accés Condicional | Detecció estàndard de risc del consumidor | Aplica compliment de dispositius i intervals d'IP permesos |
| Viabilitat de la còpia al núvol | ✅ Còpia completa a l'emmagatzematge personal al núvol | ❌ Claus privades excloses deliberadament |
| Vector de recuperació davant desastres | Correu secundari, SMS, clau de recuperació de 25 caràcters | Pas d'Accés Temporal (TAP) de l'equip de suport informàtic (Helpdesk) |
Jerarquia d'Accés Condicional i fortaleses d'autenticació
Dins de l'Accés Condicional de Microsoft Entra ID, els administradors poden estructurar l'autenticació en tres nivells rigorosos mitjançant les fortaleses d'autenticació (Authentication Strengths):
Autenticació multifactor
Accepta OTP per SMS, trucades de veu, TOTP estàndard de 6 dígits o aprovacions push. Adequat per a accessos bàsics amb una exposició al risc moderada.
Inici telefònic sense contrasenya
Requereix inici de sessió telefònic amb Microsoft Authenticator o Windows Hello for Business. Elimina les contrasenyes vulnerables a la pesca del flux d'inici de sessió.
FIDO2 i basat en certificats
Accepta exclusivament claus de seguretat FIDO2 (YubiKey) i targetes intel·ligents CBA. Línia base de compliment obligatòria per als administradors globals.
Claus de pas (Passkeys FIDO2 WebAuthn) vs. inici telefònic: la divisió criptogràfica
Els arquitectes de sistemes empresarials confonen freqüentment el sistema heretat de Microsoft «Inici de sessió telefònic sense contrasenya» amb les claus de pas estandarditzades recentment («Passkey a Authenticator»). Tot i que tots dos presenten una sol·licitud biomètrica fluida a l'usuari final, la seva arquitectura criptogràfica interna difereix fonamentalment:
- Inici de sessió telefònic: Es basa en l'arquitectura propietària Azure AD Broker de Microsoft. El dispositiu es registra directament amb Entra ID, generant un parell de claus asimètriques vinculades estrictament a l'entorn d'execució de l'aplicació Authenticator.
- Claus de pas (Passkeys FIDO2 WebAuthn): S'adhereixen a l'especificació global Web Authentication del W3C. La clau privada es genera i se segella directament a l'interior del maquinari Secure Enclave (Apple iOS) o del Keystore protegit per maquinari / StrongBox (Android). A l'hora d'autenticar-se entre estacions de treball, l'autenticació creuada entre dispositius FIDO utilitza intercanvis xifrats mitjançant codis QR combinats amb balises de proximitat Bluetooth Low Energy (BLE), garantint que el telèfon intel·ligent és físicament adjacent a la pantalla d'inici de sessió i fent que la pesca de credencials remota sigui matemàticament impossible.
Avaluació d'Accés Continu (CAE) i defensa contra el robatori de testimonis:
Els testimonis d'accés estàndard d'OAuth 2.0 tenen una finestra de validesa per defecte d'1 hora. Si un atacant roba un testimoni de sessió actiu mitjançant programari maliciós infostealer, inhabilitar el compte d'usuari a l'Active Directory solia deixar una perillosa finestra de vulnerabilitat. Microsoft Entra ID soluciona això amb l'Avaluació d'Accés Continu (CAE). Mitjançant un canal d'esdeveniments en temps real persistent entre Entra ID i els serveis de Microsoft 365 (Exchange, Teams, SharePoint), els esdeveniments crítics —com ara la revocació de contrasenyes, la inhabilitació de l'usuari o pics sobtats de risc en la geolocalització per IP— cancel·len els testimonis actius en pocs minuts.
Revoke-MgUserSignInSession -UserId "[email protected]"
Protecció d'extrems amb Microsoft Intune MAM (Mobile Application Management)
En desplegaments BYOD (Bring Your Own Device / Porta el teu propi dispositiu), els sistemes operatius mòbils personals poden albergar programari maliciós, registradors de tecles (keyloggers) o serveis d'accessibilitat maliciosos. Microsoft Authenticator s'integra amb les polítiques de protecció d'aplicacions d'Intune MAM per aplicar l'aïllament per maquinari (sandboxing) sense requerir una gestió de dispositius mòbils (MDM) invasiva:
- Bloqueig biomètric obligatori: Exigeix el desbloqueig mitjançant Face ID / Touch ID / biometria d'Android abans d'accedir a qualsevol testimoni TOTP corporatiu o sol·licitud de coincidència de números.
- Bloqueig de captures de pantalla: Restringeix les captures de pantalla i la gravació de vídeo a nivell de sistema operatiu dins de la interfície de l'aplicació Authenticator a Android i iOS.
- Detecció de jailbreak i root: Bloqueja l'emissió de testimonis i cancel·la immediatament les credencials d'inici de sessió telefònic si s'ha compromès la integritat del sistema operatiu mòbil.
Pas d'Accés Temporal (TAP): incorporació d'usuaris amb zero contrasenyes
Quan un nou membre del personal s'incorpora a una empresa, o es perd el telèfon d'un empleat, com es pot registrar una aplicació Authenticator si l'organització ha prohibit les contrasenyes? La solució és el Pas d'Accés Temporal (TAP, Temporary Access Pass):
Cicle de vida del registre TAP empresarial:
- L'administrador emet el TAP: L'equip de suport informàtic (Helpdesk) genera un codi temporal, criptogràficament aleatori (per exemple, vàlid durant 4 hores i d'un sol ús) al centre d'administració d'Entra.
- L'usuari accedeix a la informació de seguretat: L'empleat obre
https://aka.ms/mysecurityinfoa la seva estació de treball. - Autenticació mitjançant TAP: La introducció del codi temporal satisfà tots els requisits de MFA d'Accés Condicional per a la configuració inicial.
- Vinculació del dispositiu: L'empleat registra Microsoft Authenticator mitjançant un codi QR. En cap moment de la seva feina arriba a existir una contrasenya permanent!
Gestió de TOTP estàndard RFC 6238 i serveis de tercers
A més de donar servei als ecosistemes de Microsoft, Microsoft Authenticator funciona com un motor universal de TOTP segons l'RFC 6238. Pot emmagatzemar testimonis per a Amazon, GitHub, Google, AWS i plataformes d'intercanvi de criptomonedes.
Registre de plataformes externes:
Toqueu «+» a la cantonada superior dreta -> trieu «Altre (Google, Facebook, etc.)». Escanegeu el codi QR del servei de tercers. L'aplicació inicialitza càlculs estàndard HMAC-SHA1 que s'actualitzen en intervals de 30 segons.
Sí. Quan configureu la verificació en dos passos a les opcions de seguretat de Microsoft, seleccioneu «Vull configurar una aplicació d'autenticació diferent». Microsoft us mostrarà una cadena de clau estàndard en Base32. Podeu enganxar aquesta clau a 2FA-Tool.com per calcular els testimonis de forma 100% local al navegador del vostre ordinador.
Còpia de seguretat al núvol i migració de dispositius: tres paranys crítics
Microsoft Authenticator ofereix una funció de còpia de seguretat al núvol (Cloud Backup), però els límits de la seva arquitectura creen greus trampes per als usuaris desprevinguts:
Parany 1: Els comptes de treball o educatius mai no es copien amb les credencials
Quan restaureu una còpia de seguretat d'Authenticator en un telèfon nou, tots els testimonis TOTP de tercers i els comptes personals de Microsoft es restauren sense problemes. No obstant això, totes les entrades corporatives i educatives d'Entra ID mostraran un signe d'exclamació vermell: «Acció necessària - Cal tornar a autenticar-se». Les polítiques de seguretat corporatives prohibeixen exportar claus organitzatives als núvols personals dels consumidors. Heu de tornar a registrar el nou telèfon des d'una sessió corporativa activa a l'ordinador!
Parany 2: La divisió entre ecosistemes de sistemes operatius (iOS vs. Android)
A iOS, Microsoft Authenticator xifra les còpies de seguretat a l'Apple iCloud Keychain. A Android, xifra les còpies al vostre Microsoft OneDrive personal. La interoperabilitat entre aquests dos núvols és nul·la. No podeu restaurar una còpia d'Authenticator d'un iPhone directament en un dispositiu Android, ni a la inversa. Les migracions entre plataformes diferents requereixen escanejar manualment els codis al dispositiu nou abans d'esborrar el dispositiu antic.
Parany 3: El carreró sense sortida de «Iniciar sessió vs. Restaurar»
En obrir una instal·lació nova d'Authenticator en un telèfon nou, hi ha un enllaç discret a la part inferior: «Restaura des de la còpia de seguretat». Heu de prémer «Restaura des de la còpia de seguretat» abans d'afegir cap compte! Si premeu «Afegeix un compte» primer, l'aplicació us demanarà un codi 2FA per verificar la vostra identitat —un codi bloquejat dins de la còpia de seguretat que encara no heu restaurat, creant un bloqueig irresoluble.
Resolució de problemes: fallades en notificacions push i recuperació
Problema 1: Les notificacions push de coincidència de números no arriben mai al telèfon
- Optimització agressiva de la bateria (Android): Moltes capes de personalització de fabricants d'Android aturen els serveis en segon pla. Excloeu Microsoft Authenticator de l'optimització de bateria als paràmetres del sistema operatiu.
- Pèrdua de connexió dels Serveis de Google Play: Els dispositius sense serveis de Google no poden rebre alertes estàndard FCM en segon pla. Obriu l'aplicació manualment per forçar la comprovació.
- Restriccions d'encaminament per VPN: Certs túnels VPN corporatius o regionals tallen els sòcols TLS persistents cap als punts finals de notificacions push de Microsoft.
Problema 2: Telèfon destruït sense còpia de seguretat — Com recuperar l'accés corporatiu
Mentre que els comptes de consumidors depenen de claus de recuperació d'autoservei, els usuaris corporatius d'Entra ID disposen d'una via de recuperació dedicada:
Poseu-vos en contacte amb l'equip de suport informàtic (Helpdesk) de la vostra organització. Un administrador pot obrir el centre d'administració d'Entra, consultar el vostre perfil d'usuari a Mètodes d'autenticació i emetre un Pas d'Accés Temporal (TAP) de 8 hores. Aquesta credencial d'un sol ús eludeix el MFA i us permet iniciar sessió per registrar el vostre maquinari de substitució.
Preguntes freqüents (FAQ)
Puc utilitzar l'inici de sessió telefònic amb el dispositiu en mode avió? ▼
Les sol·licituds de coincidència de números requereixen una connexió de xarxa activa per rebre els desafiaments. Si el telèfon està fora de línia, seleccioneu «No puc utilitzar la meva aplicació Microsoft Authenticator ara mateix» a la pantalla d'inici de sessió del navegador i, tot seguit, trieu «Utilitza un codi de verificació». Obriu l'aplicació Authenticator i introduïu el codi TOTP de 6 dígits generat localment, que funciona completament fora de línia.
Com es compara Microsoft Authenticator amb Google Authenticator? ▼
Per a Microsoft 365, Azure i fluxos de treball corporatius, Microsoft Authenticator és molt superior gràcies a la coincidència nativa de números i la compatibilitat amb claus de pas (passkeys) sense contrasenya. Per a la gestió general de testimonis TOTP de consumidors entre dispositius heterogenis (canviant entre iOS i Android), la sincronització unificada al núvol del compte de Google que ofereix Google Authenticator proporciona una migració més senzilla entre diferents sistemes operatius.
Què passa si esborro accidentalment l'aplicació Microsoft Authenticator? ▼
Si la còpia de seguretat al núvol estava activada abans de l'eliminació, torneu a instal·lar l'aplicació i premeu «Restaura des de la còpia de seguretat» a la pantalla inicial. Autentiqueu-vos amb el compte de recuperació de Microsoft (o l'Apple ID) per recuperar els testimonis. Si la còpia de seguretat no estava activa, utilitzeu el vostre correu electrònic de recuperació d'emergència, el codi SMS o la clau de recuperació de 25 caràcters per recuperar l'accés.
Genereu testimonis 2FA universals de forma segura
Necessiteu càlculs TOTP segons l'RFC 6238 al costat del client per a les vostres consoles al núvol corporatives, repositoris Git i xarxes socials? Utilitzeu l'eina web de 2FA-Tool, 100% fora de línia i amb privadesa absoluta.