På tværs af Microsofts globale økosystem – herunder Microsoft 365, Azure, Windows Hello og over en milliard forbrugerkonti – anses traditionelle adgangskoder for den primære kilde til sikkerhedsbrud (mere end 80 % af alle virksomhedsangreb skyldes credential stuffing eller genbrug af passwords). Microsoft Authenticator har udviklet sig fra en simpel TOTP-app til et centraliseret, zero-trust og passwordless godkendelsesendepunkt.
Kræver indtastning af det tal, der vises på skærmen, i mobilappen – hvilket neutraliserer push bombing.
Biometrisk godkendelse kombineret med enhedens hardware-enclave fjerner adgangskoder helt.
Arbejds- og skolekonti udelukkes bevidst fra personlig skybackup af compliance-årsager.
MFA-træthed (Push Bombing) & kravet om nummermatch
Historisk set var den mest brugervenlige MFA-løsning simple push-beskeder: en notifikation med valgmulighederne "Godkend" eller "Afvis". I praksis skabte denne enkle grænseflade en alvorlig sårbarhed: MFA Fatigue (MFA-træthed).
1. Anatomien bag Lapsus$' push-bombing-angreb
I markante cyberangreb mod multinationale koncerner (bl.a. Uber og Okta) skaffede hackere sig adgang til medarbejdernes passwords via lækager på dark web. For at omgå push-godkendelsen iværksatte angriberne automatiserede scripts, der sendte snesevis af push-anmodninger klokken to om natten. Trætte, forvirrede eller irriterede medarbejdere trykkede til sidst "Godkend" blot for at få mobilen til at tie stille – og forærede dermed angriberen direkte adgang.
2. Microsofts globale håndhævelse af nummermatch
For at eliminere denne angrebsvektor indførte Microsoft obligatorisk Nummermatch (Number Matching) for alle Microsoft Entra ID (Azure AD)-lejere og privatkonti:
- Dynamisk visning af tal: Login-skærmen i browseren viser et tilfældigt tocifret tal (f.eks.
73). - Manuel indtastning i appen: Notifikationen på telefonen beder brugeren låse enheden op og indtaste det viste tal på et numerisk tastatur. Der findes ingen simpel "Godkend"-knap.
- Kontekstuel geoplacering og app-navn: Skærmbilledet viser den anmodende app (f.eks. "Microsoft Office Web") samt omtrentlig geografisk placering baseret på IP-opslag.
Da en ekstern angriber ikke kan se det tal, der vises på offerets skærm, og det sovende offer ikke kan gætte tallet, reducerer nummermatch succesraten for automatiserede push-bombing-angreb til nul.
Arkitektur for adgangskodefrit mobil-login
Ægte passwordless godkendelse handler ikke bare om automatisk udfyldning af en adgangskode i baggrunden. Det bygger på asymmetrisk offentlig nøglekryptografi standardiseret under FIDO2, som omdanner din smartphone til en hardware-beskyttet sikkerhedsenhed.
Kryptografisk workflow for telefon-login:
- Registreringsfase: Aktivering af mobil-login instruerer telefonens sikkerhedshardware (Apple Secure Enclave eller Android StrongBox/TEE) om at generere et asymmetrisk nøglepar. Den private nøgle forbliver for altid isoleret i hardwaren; den offentlige nøgle registreres i Microsoft Identity Cloud.
- Udsendelse af udfordring: Når du indtaster dit brugernavn i en browser, udsteder Microsoft en kortlivet kryptografisk udfordring (nonce), som sendes via APNs/FCM til din registrerede telefon.
- Biometrisk godkendelse: Brugeren bekræfter sin identitet lokalt med Face ID, Touch ID eller enhedens PIN-kode. Denne handling giver det sikre hardwaremodul lov til at anvende den private nøgle.
- Kryptografisk signatur: Den private nøgle signerer serverudfordringen og sender signaturen retur til Microsofts identitetsgateway. Gatewayen verificerer signaturen med den forudregistrerede offentlige nøgle og logger brugeren ind. Der overføres aldrig nogen adgangskode over netværket.
- Tilføj din personlige konto til Microsoft Authenticator og slå "Konfigurer telefon-login" til.
- Gå til Microsofts sikkerhedsindstillinger på computeren:
account.live.com/proofs/manage/additional. - Find punktet Adgangskodefri konto under "Ekstra sikkerhed", og vælg Slå til.
- Gennemfør nummermatch-anmodningen på telefonen. Din adgangskode slettes nu permanent fra Microsofts databaser!
Privat Microsoft-konto (MSA) vs. Arbejds-/skolekonto (Entra ID)
Mange brugere administrerer både private og arbejdsmæssige konti i samme Authenticator-app. De to kontotyper bygger dog på vidt forskellige tillidsmodeller.
| Kriterie | Personlig Microsoft-konto (MSA) | Arbejds- / skolekonto (Entra ID) |
|---|---|---|
| Identitetsdomæne | @outlook.com, @hotmail.com, @live.com | @virksomhed.dk, @universitet.dk |
| Administrativ kontrol | Slutbrugeren selv | Global administrator & Intune MDM |
| Conditional Access-politikker | Standard forbrugerrisikodetektering | Håndhæver overholdelse af enhedskrav og godkendte IP-intervaller |
| Cloudbackup-understøttelse | ✅ Fuld backup til personlig cloudkonto | ❌ Private nøgler udelukkes bevidst |
| Nødadgangsmetode | Sekundær e-mail, SMS, 25-tegns genoprettelseskode | IT-helpdesk Temporary Access Pass (TAP) |
Conditional Access & hierarki over godkendelsesstyrker
I Microsoft Entra ID Conditional Access kan administratorer inddele adgangskontrol i tre niveauer ved hjælp af Authentication Strengths (Godkendelsesstyrker):
Multifaktorgodkendelse
Accepterer SMS-koder, taleopkald, standard 6-cifret TOTP eller push-meddelelser. Velegnet til almindelig adgang med moderat risikoprofil.
Adgangskodefrit telefon-login
Kræver Microsoft Authenticator telefon-login eller Windows Hello for Business. Fjerner passwords, der kan phishes, fra login-flowet.
FIDO2 & certifikatbaseret
Accepterer udelukkende FIDO2-sikkerhedsnøgler (f.eks. YubiKey) og CBA-smartcards. Obligatorisk compliance-krav for globale administratorer.
Passkeys (FIDO2 WebAuthn) vs. mobil-login: Den kryptografiske forskel
Mange forveksler Microsofts ældre "Adgangskodefri telefonlogon" med de nye standardiserede "Passkeys i Authenticator". Selvom begge fremstår som en hurtig biometrisk bekræftelse for brugeren, er den tekniske opbygning grundlæggende forskellig:
- Telefon-login: Benytter Microsofts proprietære Azure AD Broker-arkitektur. Enheden registrerer sig direkte i Entra ID og opretter et asymmetrisk nøglepar, der er bundet specifikt til Authenticator-appen.
- Passkeys (FIDO2 WebAuthn): Følger den globale W3C Web Authentication-standard. Den private nøgle genereres og forsegles direkte i enhedens hardware Secure Enclave (Apple iOS) eller Hardware-backed Keystore / StrongBox (Android). Ved godkendelse på tværs af computere benytter FIDO krypterede QR-koder parret med Bluetooth Low Energy (BLE) nærhedssignaler. Dette beviser, at mobilen er fysisk til stede foran computerskærmen, hvilket gør fjernphishing matematisk umuligt.
Continuous Access Evaluation (CAE) mod token-tyveri:
Standard OAuth 2.0 access tokens er gyldige i 1 time. Hvis en angriber stjæler et aktivt sessionstoken via malware, vil deaktivering af kontoen i Active Directory ofte efterlade et farligt tidsvindue. Microsoft Entra ID løser dette med Continuous Access Evaluation (CAE). Gennem en direkte hændelsesforbindelse i realtid mellem Entra ID og Microsoft 365-tjenester (Exchange, Teams, SharePoint) bliver aktive tokens tilbagekaldt inden for få minutter ved kritiske hændelser som ændring af kodeord eller mistænkelige IP-adresser.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM (Mobile Application Management) app-beskyttelse
I BYOD-miljøer (hvor medarbejdere bruger egne telefoner) kan operativsystemet rumme spyware eller keyloggere. Microsoft Authenticator integreres med Intune MAM-politikker for at håndhæve sandboxing på hardwareniveau uden behov for fuld enhedsovervågning (MDM):
- Krav om biometrisk oplåsning: Kræver Face ID / Touch ID / Android biometri, før TOTP-koder eller nummermatch-anmodninger kan tilgås.
- Blokering af skærmoptagelse: Forhindrer screenshots og skærmoptagelse inde i Authenticator-appen på både Android og iOS.
- Detektering af jailbreak og root: Blokerer adgang og tilbagekalder login-oplysninger øjeblikkeligt, hvis telefonens styresystem er blevet manipuleret.
Temporary Access Pass (TAP): Onboarding helt uden adgangskode
Når en ny medarbejder starter, eller en smartphone bortkommer, hvordan opsættes Authenticator-appen så, hvis organisationen har afskaffet faste passwords? Løsningen er Temporary Access Pass (TAP):
TAP-livscyklus i virksomheden:
- Administrator udsteder TAP: IT-helpdesk opretter en tidsbegrænset, kryptografisk tilfældig adgangskode (f.eks. gyldig i 4 timer, éngangsbrug) i Entra admin center.
- Brugeren åbner sikkerhedsopsætning: Medarbejderen åbner
https://aka.ms/mysecurityinfopå sin computer. - Godkendelse med TAP: Indtastning af koden opfylder alle Conditional Access MFA-krav for den indledende opsætning.
- Enhedstilknytning: Medarbejderen registrerer Microsoft Authenticator via QR-kode. På intet tidspunkt i ansættelsesforløbet har der eksisteret et traditionelt password!
Håndtering af standard RFC 6238 TOTP til tredjepartstjenester
Ud over Microsofts egne tjenester fungerer Microsoft Authenticator som en universel RFC 6238 TOTP-generator. Den kan håndtere koder til Amazon, GitHub, Google, AWS og kryptobørser.
Tilknytning af eksterne platforme:
Tryk på "+" øverst til højre -> vælg "Anden (Google, Facebook osv.)". Scan tjenestens QR-kode. Appen igangsætter standard HMAC-SHA1-beregninger, der opdateres hvert 30. sekund.
Ja. Når du opsætter totrinsbekræftelse i Microsofts sikkerhedsindstillinger, vælges "Jeg vil konfigurere en anden godkenderapp". Microsoft viser en standard Base32-nøglestreng. Du kan indsætte denne nøgle på 2FA-Tool.com for at beregne godkendelseskoder 100 % lokalt i din computers browser.
Cloudbackup og enhedsmigrering: Tre kritiske faldgruber
Microsoft Authenticator har en funktion til cloudbackup, men systemets opbygning rummer tre alvorlige fælder:
Faldgrube 1: Arbejds- og skolekonti sikkerhedskopieres aldrig med login-nøgler
Når du gendanner en Authenticator-backup på en ny telefon, gendannes alle tredjeparts TOTP-koder og private Microsoft-konti fejlfrit. Men alle erhvervs- og uddannelsesrelaterede Entra ID-konti vil vise et rødt udråbstegn: "Handling påkrævet - Gengodkendelse nødvendig". Virksomhedspolitikker forbyder eksport af organisationsnøgler til private forbrugerclouds. Du skal registrere den nye telefon forfra via en aktiv browsersession på computeren!
Faldgrube 2: Styresystemernes adskillelse (iOS vs. Android)
På iOS krypteres backuppen til Apple iCloud Hovednøglering (Keychain). På Android krypteres backuppen til dit personlige Microsoft OneDrive. Der findes absolut ingen kompatibilitet imellem dem. Du kan ikke gendanne en iPhone-sikkerhedskopi på en Android-telefon eller omvendt. Skift mellem platforme kræver, at du manuelt overfører koderne til den nye enhed, før den gamle slettes.
Faldgrube 3: Hønse-ægge-fælden ved nyinstallation
Når du åbner en nyinstalleret Authenticator på en ny telefon, findes der et lille link nederst: "Gendan fra sikkerhedskopi". Du skal trykke på "Gendan fra sikkerhedskopi" før du tilføjer konti! Hvis du trykker på "Tilføj konto" først, beder appen om en 2FA-kode for at bekræfte din identitet – en kode, der ligger låst inde i den ikke-gendannede backup.
Fejlfinding: Problemer med notifikationer & genoprettelse
Problem 1: Nummermatch-notifikationer når aldrig frem til telefonen
- Aggressiv batterioptimering (Android): Mange Android-producenter lukker baggrundsprocesser. Undtag Microsoft Authenticator fra batterioptimering i systemindstillingerne.
- Udeblevne Google Play Services: Enheder uden officielle Google-tjenester kan ikke modtage standard FCM-baggrundsbeskeder. Åbn appen manuelt for at gennemtvinge opdatering.
- VPN-begrænsninger: Visse virksomhedsnetværk eller VPN-tunneler blokerer de vedvarende TLS-forbindelser til Microsofts push-servere.
Problem 2: Telefonen er ødelagt uden backup – gendannelse af virksomhedsadgang
Hvor privatbrugere må ty til personlige genoprettelseskoder, har brugere i erhvervsmiljøer med Entra ID en dedikeret proces:
Kontakt organisationens IT-helpdesk. En administrator kan åbne Entra admin center, finde din profil under Authentication Methods og udstede et 8-timers Temporary Access Pass (TAP). Denne engangskode omgår MFA og giver dig adgang til at registrere en ny enhed.
Ofte stillede spørgsmål (FAQ)
Kan jeg bruge telefon-login, når min telefon er på flytilstand? ▼
Nummermatch kræver internetforbindelse for at modtage anmodningen. Hvis telefonen er offline, klikkes på "Jeg kan ikke bruge min Microsoft Authenticator-app lige nu" på login-skærmen, hvorefter du vælger "Brug en bekræftelseskode". Åbn Authenticator-appen og indtast den lokalt genererede 6-cifrede TOTP-kode, som fungerer fuldstændig offline.
Hvordan adskiller Microsoft Authenticator sig fra Google Authenticator? ▼
Til Microsoft 365, Azure og virksomhedsmiljøer er Microsoft Authenticator langt overlegen på grund af indbygget nummermatch og passwordless understøttelse. Til ren håndtering af standard TOTP-koder på tværs af iOS og Android er Google Authenticators Google-konto-synkronisering lettere at flytte på tværs af forskellige styresystemer.
Hvad sker der, hvis jeg ved et uheld sletter Microsoft Authenticator-appen? ▼
Hvis Cloud Backup var slået til forinden, installeres appen igen, og du vælger "Gendan fra sikkerhedskopi" på startskærmen. Log ind med din genoprettelseskonto (Microsoft-konto eller Apple-id) for at gendanne koderne. Hvis backup ikke var aktiv, må du benytte dine nød-e-mails, SMS-koder eller den 25-cifrede konto-genoprettelsesnøgle.
Generer universelle 2FA-koder sikkert
Har du brug for lynhurtig RFC 6238 TOTP-kodegenerering til dine cloudkonsoller, Git-repositories og sociale medier? Prøv 2FA-Tools 100 % offline, databeskyttende browser-værktøj.