V celém globálním ekosystému společnosti Microsoft, který zahrnuje Microsoft 365, Azure, Windows Hello a více než miliardu spotřebitelských účtů, jsou tradiční hesla považována za primární vektor bezpečnostních průniků (více než 80 % podnikových napadení pramení z útoků typu credential stuffing nebo opakovaného používání hesel). Microsoft Authenticator se z jednoduchého klienta TOTP proměnil v centralizovaný koncový bod pro zero-trust ověřování bez hesel.
Vyžaduje zadání čísla zobrazeného v prohlížeči do mobilní aplikace, což neutralizuje techniku push bombing.
Biometrická autorizace spojená s hardwarovými klíči v bezpečnostním čipu zcela eliminuje potřebu hesel.
Pracovní a školní přihlašovací údaje jsou z důvodu bezpečnosti a souladu záměrně vyloučeny z cloudových záloh.
MFA Fatigue (Push Bombing) a povinné párování čísel
V minulosti bylo uživatelsky nejpřívětivější metodou vícefaktorového ověření prosté push oznámení s tlačítky „Schválit“ a „Odmítnout“. V praxi však toto pohodlné rozhraní vytvořilo kritickou zranitelnost: MFA Fatigue (únavu z vícefaktorového ověřování).
1. Anatomie útoků skupiny Lapsus$ formou Push Bombingu
Při známých incidentech u nadnárodních společností získali útočníci platná hesla zaměstnanců z úniků na darknetu. K obejití následného push oznámení nasadili automatizované skripty, které oběti zaslaly desítky schvalovacích požadavků ve 2:00 ráno. Zmatený, unavený nebo probuzený uživatel nakonec klepl na „Schválit“ jen proto, aby telefon konečně ztichnul, čímž útočníkovi okamžitě poskytl přístup do sítě.
2. Globální zavedení párování čísel (Number Matching)
Aby společnost Microsoft tento vektor útoku zcela eliminovala, zavedla povinné párování čísel (Number Matching) napříč všemi tenanty Microsoft Entra ID i spotřebitelskými účty:
- Zobrazení dynamického čísla: Na obrazovce přihlášení v prohlížeči se objeví náhodné dvoumístné číslo (např.
73). - Ruční zadání v telefonu: Mobilní oznámení vyzve uživatele k odemčení zařízení a přepsání tohoto přesného čísla na klávesnici. V rozhraní neexistuje žádné univerzální tlačítko „Schválit“.
- Kontextová geolokace a název aplikace: Výzva přehledně zobrazuje žádající aplikaci (např. „Microsoft Office Web“) a přibližnou polohu na základě IP adresy.
Jelikož vzdálený útočník nevidí číslo zobrazené na fyzickém monitoru oběti a spící uživatel nemůže číslo uhodnout, snižuje párování čísel úspěšnost útoků typu push bombing na absolutní nulu.
Architektura přihlašování telefonem bez hesel
Skutečná autentizace bez hesla nespočívá v pouhém automatickém vyplňování hesla na pozadí. Využívá asymetrickou kryptografii veřejného klíče podle standardu FIDO2, čímž promění váš chytrý telefon v hardwarově zabezpečený bezpečnostní prvek.
Kryptografický postup přihlášení telefonem:
- Fáze registrace: Aktivace přihlášení telefonem dá pokyn bezpečnostnímu čipu telefonu (Apple Secure Enclave nebo Android StrongBox/TEE) k vygenerování asymetrického páru klíčů. Soukromý klíč zůstává trvale uzamčen v hardwaru; veřejný klíč je odeslán a zaregistrován v cloudu Microsoft Identity.
- Předání výzvy (Challenge): Jakmile zadáte své uživatelské jméno v prohlížeči, Microsoft vygeneruje dočasnou kryptografickou výzvu (nonce) odeslanou přes APNs/FCM na vaše zařízení.
- Biometrické ověření: Uživatel lokálně ověří svou identitu pomocí Face ID, Touch ID nebo systémového PINu telefonu. Tento hardwarový signál odemkne přístup k soukromému klíči v bezpečnostním čipu.
- Kryptografická aserce: Soukromý klíč podepíše výzvu serveru a odešle podpis zpět do brány Microsoft Identity. Ta ověří podpis pomocí dříve zaregistrovaného veřejného klíče a udělí přístup. Po síti se nikdy nepřenáší žádné heslo.
- Přidejte svůj osobní účet do Microsoft Authenticatoru a zvolte možnost „Nastavit přihlašování přes telefon“.
- Na počítači přejděte do rozšířeného nastavení zabezpečení Microsoftu:
account.live.com/proofs/manage/additional. - V sekci „Další možnosti zabezpečení“ vyhledejte položku Účet bez hesla a klikněte na Zapnout.
- Dokončete výzvu pro párování čísel v mobilním telefonu. Vaše heslo bude trvale vymazáno z databází Microsoftu!
Osobní Microsoft účty (MSA) vs. pracovní/školní (Entra ID)
Uživatelé často v jedné instalaci Authenticatoru spravují několik různých účtů. Provozování osobních spotřebitelských účtů po boku podnikových identit Entra ID se však řídí zcela odlišnými modely správy a důvěry.
| Kritérium hodnocení | Osobní účet Microsoft (MSA) | Pracovní / školní účet (Entra ID) |
|---|---|---|
| Doména identity | @outlook.com, @hotmail.com, @live.com | @firma.cz, @univerzita.cz |
| Správa a dohled | Plná suverenita koncového uživatele | Globální správce tenanta a Intune MDM |
| Politiky podmíněného přístupu | Standardní spotřebitelská detekce rizik | Vynucení souladu zařízení, bezpečné IP rozsahy |
| Zálohování v cloudu | ✅ Kompletní záloha do osobního cloudového úložiště | ❌ Klíče jsou z bezpečnostních důvodů vyloučeny |
| Postup obnovy při ztrátě | Záložní e-mail, SMS, 25znakový obnovovací kód | Dočasný přístupový kód (TAP) od IT podpory |
Podmíněný přístup a hierarchie síly ověřování
V rámci Podmíněného přístupu v Microsoft Entra ID mohou administrátoři strukturovat přihlašování do tří přísně definovaných úrovní pomocí Síly ověřování (Authentication Strengths):
Vícefaktorové ověřování
Přijímá SMS OTP, telefonní hovory, běžný 6místný TOTP nebo push oznámení. Vhodné pro základní přístup s nízkým rizikem.
Přihlášení telefonem
Vyžaduje přihlášení telefonem přes Microsoft Authenticator nebo Windows Hello for Business. Zcela eliminuje phishovatelná hesla.
FIDO2 a certifikáty
Přijímá výhradně hardwarové klíče FIDO2 (YubiKey) a čipové karty CBA. Povinný standard pro globální administrátory.
Přístupové klíče Passkeys (FIDO2 WebAuthn) vs. Phone Sign-In: Kryptografický rozdíl
Podnikoví architekti často zaměňují starší metodu Microsoftu „Phone Sign-In“ s nově standardizovanými klíči „Passkeys v Authenticatoru“. Přestože obě metody nabízejí uživateli hladké biometrické ověření, jejich kryptografická implementace se zásadně liší:
- Phone Sign-In: Využívá proprietární architekturu Azure AD Broker. Zařízení se registruje přímo v Entra ID a generuje asymetrický klíč vázaný výhradně na běhové prostředí aplikace Authenticator.
- Passkeys (FIDO2 WebAuthn): Splňuje globální standard W3C Web Authentication. Soukromý klíč se generuje a uzamyká přímo v hardwarovém Secure Enclave (Apple iOS) nebo Keystore / StrongBox (Android). Při ověřování z počítače využívá FIDO Cross-Device Authentication šifrované QR handshaky a Bluetooth Low Energy (BLE) majáky, což garantuje fyzickou přítomnost telefonu u monitoru a činí vzdálený phishing matematicky nemožným.
Continuous Access Evaluation (CAE) a obrana proti krádeži tokenů:
Běžné přístupové tokeny OAuth 2.0 mají výchozí platnost 1 hodinu. Pokud útočník ukradne token infostealerem, deaktivace účtu v Active Directory dříve ponechávala nebezpečné časové okno. Microsoft Entra ID to řeší mechanismem Continuous Access Evaluation (CAE). Díky obousměrnému propojení mezi Entra ID a službami Microsoft 365 (Exchange, Teams, SharePoint) vedou kritické události (změna hesla, blokace účtu, skok v rizikovosti IP) k okamžitému zneplatnění tokenů během několika minut.
Revoke-MgUserSignInSession -UserId "[email protected]"
Ochrana koncových bodů pomocí Microsoft Intune MAM (Mobile Application Management)
V prostředí BYOD (soukromá zařízení zaměstnanců) mohou mobilní telefony obsahovat malware nebo nebezpečné aplikace. Microsoft Authenticator se integruje s politikami Intune MAM pro vynucení hardwarového sandboxu bez nutnosti úplné správy zařízení (MDM):
- Vynucení biometrického zámku: Před zobrazením libovolného firemního kódu TOTP nebo výzvy k párování čísel vyžaduje odemknutí přes Face ID / Touch ID / biometriku Androidu.
- Blokování snímků obrazovky: Zakazuje pořizování screenshotů a nahrávání obrazovky v aplikaci Authenticator na Androidu i iOS.
- Detekce Jailbreaku a Rootu: Okamžitě zablokuje vydávání tokenů a zruší přihlašovací údaje, pokud byla narušena integrita operačního systému telefonu.
Dočasný přístupový kód (TAP): Registrace bez nutnosti hesel
Když do firmy nastoupí nový zaměstnanec, nebo když dojde ke ztrátě telefonu, jak si pracovník zaregistruje Authenticator, pokud organizace zcela zakázala hesla? Řešením je Dočasný přístupový kód (Temporary Access Pass – TAP):
Životní cyklus podnikového nasazení přes TAP:
- Vystavení TAP správcem: IT Helpdesk vygeneruje v centru pro správu Entra časově omezený, kryptograficky silný jednorázový kód (např. platný 4 hodiny).
- Přístup k nastavení zabezpečení: Zaměstnanec otevře portál
https://aka.ms/mysecurityinfona svém pracovním počítači. - Přihlášení pomocí TAP: Zadání dočasného kódu splní všechny podmínky Podmíněného přístupu pro prvotní nastavení MFA.
- Spárování nového zařízení: Zaměstnanec naskenuje QR kód a aktivuje Microsoft Authenticator. Po celou dobu jeho působení ve firmě tak nikdy neexistuje žádné trvalé heslo!
Správa standardního TOTP dle RFC 6238 a služby třetích stran
Kromě služeb ekosystému Microsoft funguje Microsoft Authenticator také jako univerzální generátor kódů TOTP dle RFC 6238. Lze v něm ukládat kódy pro Amazon, GitHub, Google, AWS i kryptoměnové burzy.
Přidání externích platforem:
Klepněte na ikonu „+“ v pravém horním rohu -> zvolte „Jiný účet (Google, Facebook atd.)“. Naskenujte QR kód třetí strany. Aplikace zahájí standardní výpočet HMAC-SHA1 v 30sekundových cyklech.
Ano. Při nastavování dvoufázového ověření v zabezpečení Microsoftu zvolte odkaz „Chci nastavit jinou aplikaci pro ověřování“. Microsoft zobrazí standardní tajný klíč v Base32. Tento klíč můžete zadat do 2FA-Tool.com a počítat ověřovací kódy 100% lokálně ve svém počítači.
Zálohování v cloudu a migrace zařízení: Tři kritická úskalí
Microsoft Authenticator nabízí funkci zálohování v cloudu, avšak architektonická specifika mohou vést k nepříjemným překvapením:
Úskalí 1: Pracovní a školní účty se nezálohují s přihlašovacími klíči
Při obnově zálohy na novém telefonu se všechny běžné TOTP tokeny i osobní Microsoft účty obnoví okamžitě. Avšak všechny položky Entra ID zobrazí červený vykřičník: „Je vyžadována akce – nutné opětovné ověření“. Bezpečnostní politiky zakazují export firemních klíčů do soukromých spotřebitelských cloudů. Nový telefon musíte znovu zaregistrovat z aktivní relace na počítači!
Úskalí 2: Oddělení ekosystémů (iOS vs. Android)
Na iOS šifruje Microsoft Authenticator zálohy do Apple iCloud Klíčenky. Na Androidu je ukládá do vašeho osobního Microsoft OneDrive. Mezi těmito dvěma cloudy neexistuje žádná přímá interoperabilita. Zálohu z iPhone nelze přímo obnovit na telefon s Androidem a naopak. Přechod mezi platformami vyžaduje ruční naskenování kódů před smazáním starého zařízení.
Úskalí 3: Past „Přidat účet“ vs. „Obnovit ze zálohy“
Při spuštění čerstvě nainstalovaného Authenticatoru na novém telefonu je ve spodní části odkaz: „Obnovit ze zálohy“. Na tento odkaz musíte klepnout před přidáním jakéhokoli účtu! Pokud nejprve zvolíte „Přidat účet“, aplikace si vyžádá 2FA kód pro ověření vaší totožnosti – kód, který je uzamčen uvnitř dosud neobnovené zálohy, což vede k patové situaci.
Řešení potíží: Výpadky oznámení a krizové situace
Problém 1: Oznámení pro párování čísel vůbec nepřicházejí na telefon
- Agresivní šetření baterie (Android): Řada výrobců ukončuje procesy na pozadí. Vypněte optimalizaci baterie pro Microsoft Authenticator v nastavení systému.
- Výpadky Google Play Services: Zařízení bez certifikovaných služeb Google nemohou přijímat push notifikace FCM. Otevřete aplikaci ručně pro vynucení kontroly.
- Omezení firemní sítě nebo VPN: Některé firemní VPN tunely blokují trvalá TLS spojení se servery push notifikací Microsoftu.
Problém 2: Ztracený nebo poškozený telefon bez zálohy – obnova firemního účtu
Zatímco spotřebitelské účty spoléhají na samoobslužné obnovovací klíče, uživatelé firemních účtů Entra ID mají jasný a bezpečný postup:
Kontaktujte IT Helpdesk vaší společnosti. Správce otevře centrum pro správu Entra, vyhledá váš profil v sekci Metody ověřování a vystaví dočasný přístupový kód (TAP) na 8 hodin. S tímto jednorázovým kódem se přihlásíte bez MFA a zaregistrujete své nové zařízení.
Často kladené otázky (FAQ)
Lze použít přihlášení telefonem, pokud je zařízení v režimu Letadlo? ▼
Párování čísel vyžaduje připojení k internetu pro příjem výzvy. Pokud jste offline, klikněte na obrazovce přihlášení na „Nemohu použít aplikaci Microsoft Authenticator“ a zvolte „Použít ověřovací kód“. Otevřete Authenticator v telefonu a zadejte lokálně generovaný 6místný kód TOTP, který funguje zcela offline.
Jak si stojí Microsoft Authenticator ve srovnání s Google Authenticatorem? ▼
Pro ekosystém Microsoft 365, Azure a podniková prostředí je Microsoft Authenticator jednoznačně výhodnější díky nativní podpoře párování čísel a bezheslových klíčů. Pro běžnou správu kódů TOTP u osobních účtů nabízí Google Authenticator snadnější synchronizaci mezi iOS a Androidem přes účet Google.
Co se stane, pokud aplikaci Microsoft Authenticator omylem smažu? ▼
Pokud jste měli aktivní zálohování v cloudu, nainstalujte aplikaci znovu a na úvodní obrazovce klepněte na „Obnovit ze zálohy“. Přihlaste se záložním účtem a tokeny se obnoví. Pokud záloha aktivní nebyla, použijte záložní e-mail, SMS nebo 25znakový obnovovací kód k obnovení přístupu.
Generujte univerzální 2FA tokeny bezpečně
Potřebujete výpočty TOTP dle RFC 6238 pro cloudové konzole, repozitáře Git nebo sociální sítě? Využijte 100% offline nástroj 2FA-Tool s maximálním důrazem na soukromí.