ברחבי המערכת האקולוגית הגלובלית של Microsoft הכוללת את Microsoft 365, Azure, Windows Hello ויותר ממיליארד חשבונות זהות פרטיים, סיסמאות מזוהות כווקטור המרכזי לפריצות אבטחה (יותר מ-80% מהחדירות הארגוניות נובעות ממתקפות Credential Stuffing או שימוש חוזר בסיסמאות). אפליקציית Microsoft Authenticator התפתחה מלקוח TOTP פשוט ל**נקודת קצה מרכזית נטולת סיסמאות בארכיטקטורת Zero Trust**.
דורש הזנת מספרים המוצגים בדפדפן ישירות לתוך האפליקציה הניידת, ומנטרל מתקפות Push Bombing.
אימות ביומטרי בשילוב מפתחות Enclave בחומרת המכשיר מבטל לחלוטין את הצורך בסיסמאות.
אישורי חשבון עבודה/בית ספר מוחרגים במכוון מגיבויי ענן לצורכי תאימות ואבטחה.
התשת MFA (Push Bombing) וחובת התאמת מספרים
מבחינה היסטורית, מנגנון האימות הרב-שלבי הנוח ביותר למשתמש היה הודעת הדחיפה (Push) הבינארית: התראה נכנסת המציגה אפשרויות פשוטות של "אשר" (Approve) או "דחה" (Deny). בסביבות ייצור, ממשק נטול חיכוך זה יצר נקודת תורפה קריטית: התשת MFA (MFA Fatigue).
1. האנטומיה של חדירת ה-Push-Bombing בקבוצת Lapsus$
בחדירות מתוקשרות נגד תאגידים בינלאומיים (כולל Uber ו-Okta), תוקפים השיגו סיסמאות עובדים תקפות באמצעות הדלפות אישורים ברשת האפלה. כדי לעקוף את הודעת ה-Push המשנית, תוקפים הפעילו סקריפטים אוטומטיים ששיגרו עשרות בקשות אישור בשעה 02:00 לפנות בוקר. במצב של בלבול, מטרד או הפרעת שינה, הקורבנות לחצו בסופו של דבר על "אשר" רק כדי להשתיק את הטלפון, ובכך העניקו גישת רשת מיידית לתוקף.
2. האכיפה הגלובלית של Microsoft להתאמת מספרים
כדי לחסל וקטור תקיפה זה לחלוטין, Microsoft אכפה את מנגנון התאמת המספרים (Number Matching) בכל הדיירים (tenants) של Microsoft Entra ID (Azure AD) ובחשבונות הצרכניים:
- הצגת מספר דינמי: מסך ההתחברות בדפדפן מציג מספר פסאודו-אקראי בן 2 ספרות (לדוגמה,
73). - הזנה ידנית באפליקציה: ההתראה בנייד מנחה את המשתמש לפתוח את נעילת המכשיר ולהזין את המספר המדויק באמצעות לוח מקשים אינטראקטיבי. אין עוד כפתור "אשר" גנרי.
- הקשר גאוגרפי ושם האפליקציה: ההנחיה מציגה את שם היישום המבקש (למשל, "Microsoft Office Web") ואת המקור הגאוגרפי המשוער על בסיס בדיקת כתובת IP.
מכיוון שתוקף מרוחק אינו יכול לראות את המספר המוצג על הצג הפיזי של הקורבן, והקורבן הישן אינו יכול לנחש איזה מספר להזין, התאמת מספרים מפחיתה לאפס את שיעור ההצלחה של ניצול מתקפות Push Bombing אוטומטיות.
ארכיטקטורת כניסה ללא סיסמה דרך הטלפון
אימות אמיתי ללא סיסמה אינו רק מילוי אוטומטי של סיסמה מאחורי הקלעים. הוא מבוסס על קריפטוגרפיית מפתח ציבורי א-סימטרית מתוקננת תחת FIDO2, ההופכת את המכשיר הנייד שלך למתחם אבטחה (Security Enclave) מגובה חומרה.
זרימת העבודה הקריפטוגרפית של כניסה באמצעות הטלפון:
- שלב הרישום (Enrollment): הפעלת כניסה באמצעות הטלפון פוקדת על חומרת האבטחה של הסמארטפון (Apple Secure Enclave או Android StrongBox/TEE) לייצר צמד מפתחות קריפטוגרפי א-סימטרי. המפתח הפרטי נשאר מבודד לצמיתות בחומרה; המפתח הציבורי נרשם בענן הזהויות של Microsoft.
- הפצת האתגר (Challenge Dissemination): בעת הגשת שם המשתמש שלך בדפדפן, Microsoft מנפיקה אתגר קריפטוגרפי זמני (nonce) המשודר דרך APNs/FCM למכשיר הרשום שלך.
- אישור ביומטרי (Biometric Authorization): המשתמש מאמת את זהותו מקומית באמצעות Face ID, Touch ID או קוד PIN של המכשיר. מחווה חומרתית זו מאשרת ל-Secure Enclave לגשת למפתח הפרטי.
- טענה קריפטוגרפית (Cryptographic Assertion): המפתח הפרטי חותם על אתגר השרת ומחזיר את החתימה לשער הזהויות של Microsoft. השער מאמת את החתימה באמצעות המפתח הציבורי שנרשם מראש ומעניק גישה. אף סיסמה אינה עוברת ברשת לעולם.
- הוסף את חשבונך האישי ל-Microsoft Authenticator והפעל את "הגדרת כניסה באמצעות הטלפון" (Set up phone sign-in).
- במחשב שולחני, נווט להגדרות האבטחה של Microsoft:
account.live.com/proofs/manage/additional. - תחת "אבטחה נוספת" (Additional security), אתר את חשבון ללא סיסמה (Passwordless account) ובחר ב-הפעל (Turn on).
- השלם את הנחיית התאמת המספרים במכשיר הנייד שלך. הסיסמה שלך נמחקת לצמיתות ממאגרי המידע של Microsoft!
חשבונות Microsoft אישיים (MSA) לעומת חשבונות עבודה/לימודים (Entra ID)
משתמשים מנהלים לעיתים קרובות מספר חשבונות בתוך מופע Authenticator יחיד. הפעלת חשבונות צרכניים אישיים לצד זהויות Entra ID ארגוניות כרוכה במודלי אמון שונים לחלוטין.
| מדד הערכה | חשבון Microsoft אישי (MSA) | חשבון עבודה / לימודים (Entra ID) |
|---|---|---|
| מרחב זהות (Realm) | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| משילות מנהלתית | ריבונות מלאה של משתמש הקצה | מנהל גלובלי של הדייר (Tenant Admin) ו-Intune MDM |
| מדיניות גישה מותנית (Conditional Access) | זיהוי סיכונים צרכני סטנדרטי | אכיפת תאימות מכשירים וטווחי כתובות IP מאושרים |
| היתכנות גיבוי בענן | ✅ מגובה במלואו לאחסון ענן אישי | ❌ מפתחות פרטיים מוחרגים במכוון |
| וקטור התאוששות מאסון | דוא"ל משני, SMS, מפתח שחזור בן 25 תווים | כרטיס גישה זמנית (TAP) מתמיכת IT |
מדרג Conditional Access ורמות חוזק אימות
בתוך מדיניות הגישה המותנית (Conditional Access) של Microsoft Entra ID, מנהלי מערכת יכולים לבנות אימות בשלוש רמות קפדניות באמצעות רמות חוזק אימות (Authentication Strengths):
אימות רב-גורמי (MFA)
מקבל קודי OTP ב-SMS, שיחות קוליות, TOTP סטנדרטי בן 6 ספרות או אישורי Push. מתאים לגישת בסיס עם חשיפת סיכון מתונה.
כניסה ללא סיסמה דרך הטלפון
דורש כניסה דרך אפליקציית Microsoft Authenticator או Windows Hello for Business. מסלק סיסמאות הניתנות לפישינג ממסלול ההתחברות.
FIDO2 ומבוסס תעודות (CBA)
מקבל אך ורק מפתחות אבטחה FIDO2 (כגון YubiKey) וכרטיסים חכמים CBA. קו בסיס תאימות חובה למנהלים גלובליים (Global Admins).
מפתחות גישה (Passkeys ב-FIDO2 WebAuthn) לעומת Phone Sign-In: ההבדל הקריפטוגרפי
ארכיטקטי מערכות ארגוניות מבלבלים לעיתים קרובות בין "כניסה באמצעות הטלפון ללא סיסמה" הקלאסית של Microsoft לבין "Passkey ב-Authenticator" המתוקנן. למרות ששניהם מציגים הנחיה ביומטרית חלקה למשתמש הקצה, המבנה הקריפטוגרפי הפנימי שלהם שונה מהותית:
- Phone Sign-In: מסתמך על ארכיטקטורת Azure AD Broker הקניינית של Microsoft. המכשיר נרשם ישירות מול Entra ID, ומייצר צמד מפתחות א-סימטרי הקשור אך ורק לסביבת הריצה של אפליקציית Authenticator.
- Passkeys (FIDO2 WebAuthn): תואם למפרט ה-Web Authentication הגלובלי של W3C. המפתח הפרטי נוצר וננעל ישירות בתוך Secure Enclave (ב-Apple iOS) או Hardware-backed Keystore / StrongBox (ב-Android) של המכשיר. בעת אימות מול מחשב, אימות חוצה-מכשירים של FIDO עושה שימוש בלחיצות יד מוצפנות של קוד QR בשילוב משואות קרבה ב-Bluetooth Low Energy (BLE), מה שמבטיח פיזית שהסמארטפון נמצא בסמוך למסך ההתחברות והופך פישינג מרוחק לבלתי אפשרי מבחינה מתמטית.
הערכת גישה רציפה (Continuous Access Evaluation - CAE) והגנה מפני גניבת אסימונים:
לאסימוני גישה סטנדרטיים של OAuth 2.0 יש חלון תוקף ברירת מחדל של שעה אחת. אם גורם איום גונב אסימון הפעלה פעיל באמצעות נוזקת גניבת מידע (infostealer), השבתת חשבון המשתמש ב-Active Directory משאירה בדרך כלל חלון פגיעות מסוכן. Microsoft Entra ID פותרת בעיה זו באמצעות הערכת גישה רציפה (CAE). באמצעות צינור אירועים מתמשך בזמן אמת בין Entra ID לשירותי Microsoft 365 (כגון Exchange, Teams, SharePoint), אירועים קריטיים — כגון ביטול סיסמה, השבתת משתמש או קפיצות סיכון במיקום גאוגרפי — מבטלים אסימונים פעילים בתוך דקות בודדות.
Revoke-MgUserSignInSession -UserId "[email protected]"
הגנת נקודות קצה ב-Microsoft Intune MAM (ניהול אפליקציות ניידות)
בפריסות BYOD (הבא את המכשיר האישי שלך), מערכות הפעלה ניידות אישיות עלולות להכיל נוזקות, לוכדי הקשות או שירותי נגישות זדוניים. אפליקציית Microsoft Authenticator משתלבת עם פוליסות הגנת אפליקציות של Intune MAM כדי לאכוף בידוד חומרה מבלי לדרוש ניהול מכשיר נייד פולשני (MDM):
- אכיפת נעילה ביומטרית: מחייב ביטול נעילה ב-Face ID / Touch ID / ביומטריה של Android לפני גישה לכל אסימון TOTP ארגוני או הנחיית התאמת מספרים.
- חסימת צילום מסך: מגביל צילומי מסך והקלטות וידאו ברמת מערכת ההפעלה בתוך ממשק אפליקציית Authenticator ב-Android וב-iOS.
- זיהוי Jailbreak ו-Root: חוסם הנפקת אסימונים ומבטל אישורי כניסה דרך הטלפון באופן מיידי אם שלמות מערכת ההפעלה הניידת נפגעה.
כרטיס גישה זמנית (TAP): קליטה ראשונית ללא סיסמה
כאשר עובד חדש מצטרף לארגון, או כאשר הטלפון החכם של עובד הולך לאיבוד, כיצד הם רושמים אפליקציית Authenticator אם הארגון חסם שימוש בסיסמאות? הפתרון הוא כרטיס גישה זמנית (Temporary Access Pass - TAP):
מחזור חיי הרישום באמצעות TAP ארגוני:
- המנהל מנפיק TAP: תמיכת ה-IT מייצרת קוד אקראי קריפטוגרפי מוגבל בזמן (למשל, תקף ל-4 שעות, לשימוש חד-פעמי) במרכז הניהול של Entra.
- המשתמש ניגש לפרטי האבטחה: העובד פותח את
https://aka.ms/mysecurityinfoבתחנת העבודה שלו. - אימות באמצעות TAP: הזנת הקוד הזמני עונה על כל דרישות ה-MFA של Conditional Access לצורך ההגדרה הראשונית.
- צימוד המכשיר: העובד רושם את Microsoft Authenticator באמצעות סריקת קוד QR. באף שלב בהעסקתו לא קיימת סיסמה קבועה!
ניהול TOTP סטנדרטי לפי תקן RFC 6238 ושירותי צד שלישי
בנוסף לשירות סביבות Microsoft, אפליקציית Microsoft Authenticator מתפקדת כמנוע TOTP אוניברסלי לפי תקן RFC 6238. היא יכולה לאחסן אסימונים עבור Amazon, GitHub, Google, AWS ובורסות קריפטו.
רישום פלטפורמות חיצוניות:
הקש על "+" בפינה העליונה -> בחר "Other (Google, Facebook, etc.)". סרוק את קוד ה-QR של שירות הצד השלישי. האפליקציה מאתחלת חישובי HMAC-SHA1 סטנדרטיים המתעדכנים במרווחים של 30 שניות.
כן. בעת הגדרת אימות דו-שלבי בהגדרות האבטחה של Microsoft, בחר ב-"I want to set up a different Authenticator app" (ברצוני להגדיר אפליקציית מאמת אחרת). Microsoft תציג מחרוזת מפתח סטנדרטית ב-Base32. תוכל להדביק מפתח זה לתוך 2FA-Tool.com כדי לחשב אסימונים ב-100% מקומיות בדפדפן שולחן העבודה שלך.
גיבוי בענן ומעבר בין מכשירים: שלוש מלכודות קריטיות
אפליקציית Microsoft Authenticator מספקת תכונת גיבוי בענן (Cloud Backup), אך מגבלות ארכיטקטוניות יוצרות מלכודות חמורות למשתמשים שאינם זהירים:
מלכודת 1: חשבונות עבודה/לימודים לעולם אינם מגובים עם נתוני האימות שלהם
כאשר אתה משחזר גיבוי של Authenticator לטלפון חדש, כל אסימוני ה-TOTP של צד שלישי וחשבונות Microsoft האישיים ישוחזרו בצורה חלקה. עם זאת, כל רשומות ה-Entra ID הארגוניות והחינוכיות יציגו סימן קריאה אדום: "Action Required - Re-authentication necessary" (נדרשת פעולה - יש לבצע אימות מחדש). מדיניות אבטחה ארגונית אוסרת על ייצוא מפתחות ארגוניים לעננים צרכניים אישיים. עליך לרשום מחדש את הטלפון החדש מתוך הפעלת שולחן עבודה ארגונית פעילה!
מלכודת 2: ההפרדה בין מערכות ההפעלה (iOS מול Android)
ב-iOS, אפליקציית Microsoft Authenticator מצפינה גיבויים לתוך Apple iCloud Keychain. ב-Android, היא מצפינה גיבויים לתוך ה-Microsoft OneDrive האישי שלך. אין שום תאימות הדדית בין שני העננים הללו. לא ניתן לשחזר גיבוי של Authenticator מ-iPhone ישירות למכשיר Android, ולהיפך. מעבר בין פלטפורמות שונות דורש סריקה ידנית של הקודים למכשיר החדש לפני מחיקת המכשיר הישן.
מלכודת 3: מלכוד "כניסה מול שחזור" (בעיית הביצה והתרנגולת)
בעת פתיחת התקנה חדשה של Authenticator בטלפון חדש, קיים קישור עדין בתחתית המסך: "Restore from backup" (שחזור מגיבוי). עליך להקיש על "Restore from backup" לפני הוספת חשבונות כלשהם! אם תקיש תחילה על "Add account", האפליקציה תבקש ממך קוד 2FA כדי לאמת את זהותך — קוד הנעול בתוך הגיבוי שטרם שוחזר, מה שיוצר מלכוד בלתי פתיר.
פתרון בעיות: כשלים בהתראות ושחזור
בעיה 1: התראות Push של התאמת מספרים אינן מגיעות לטלפון
- מיטוב סוללה אגרסיבי (Android): יצרניות אנדרואיד רבות סוגרות תהליכי רקע. החרג את Microsoft Authenticator ממיטוב סוללה בהגדרות מערכת ההפעלה.
- ניתוק שירותי Google Play: מכשירים ללא שירותי Google אינם יכולים לקבל התראות רקע סטנדרטיות של FCM. פתח את האפליקציה ידנית כדי לאלץ משיכת נתונים (polling).
- מגבלות ניתוב VPN: מנהרות VPN ארגוניות או אזוריות מסוימות קוטעות חיבורי TLS מתמשכים לנקודות הקצה של Microsoft push.
בעיה 2: הטלפון נהרס ללא גיבוי — שחזור גישה ארגונית
בעוד שחשבונות צרכניים מסתמכים על מפתחות שחזור בשירות עצמי, למשתמשי Entra ID ארגוניים יש מסלול שחזור ייעודי:
פנה לתמיכת ה-IT של הארגון שלך. מנהל מערכת יכול לפתוח את מרכז הניהול של Entra, לבדוק את פרופיל המשתמש שלך תחת 'שיטות אימות' (Authentication Methods) ולהנפיק כרטיס גישה זמנית (TAP) התקף ל-8 שעות. אישור חד-פעמי זה עוקף את ה-MFA, ומאפשר לך להתחבר ולרשום את חומרת הטלפון החלופית שלך.
שאלות נפוצות (FAQ)
האם אוכל להשתמש בכניסה דרך הטלפון כאשר המכשיר שלי במצב טיסה? ▼
הנחיות התאמת מספרים דורשות חיבור רשת פעיל כדי לקבל את האתגרים. אם הטלפון שלך אינו מקוון, בחר באפשרות "I can't use my Microsoft Authenticator app right now" במסך הכניסה בדפדפן, ולאחר מכן בחר "Use a verification code". פתח את אפליקציית Authenticator והזן את קוד ה-TOTP בן 6 הספרות שנוצר מקומית, אשר פועל באופן מלא במצב לא מקוון.
כיצד Microsoft Authenticator משתווה ל-Google Authenticator? ▼
עבור תהליכי עבודה ארגוניים ב-Microsoft 365 וב-Azure, אפליקציית Microsoft Authenticator עדיפה בהרבה הודות לתמיכה המובנית בהתאמת מספרים (Number Matching) ובמפתחות גישה ללא סיסמה. לניהול כללי של אסימוני TOTP במכשירים הטרוגניים (מעבר תכוף בין iOS ל-Android), סנכרון הענן המאוחד של חשבון Google ב-Google Authenticator מציע מעבר פשוט יותר בין מערכות הפעלה.
מה קורה אם מחקתי בטעות את אפליקציית Microsoft Authenticator? ▼
אם תכונת הגיבוי בענן הופעלה לפני המחיקה, התקן מחדש את האפליקציה והקש על "Restore from backup" במסך הפתיחה. בצע אימות באמצעות חשבון Microsoft לשחזור (או Apple ID) כדי לאחזר את האסימונים שלך. אם הגיבוי לא היה פעיל, השתמש בדוא"ל השחזור לשעת חירום, בקוד SMS או במפתח השחזור בן 25 התווים כדי לקבל גישה מחדש.
הפק אסימוני 2FA אוניברסליים בצורה מאובטחת
זקוק לחישובי RFC 6238 TOTP בצד הלקוח עבור מסופי ענן ארגוניים, מאגרי Git וחשבונות רשתות חברתיות? השתמש בכלי הרשת המאובטח של 2FA-Tool הפועל 100% במצב לא מקוון ומגן על פרטיותך.