Unutar Microsoftovog globalnog ekosustava koji obuhvaća Microsoft 365, Azure, Windows Hello i više od milijardu korisničkih računa, lozinke su prepoznate kao primarni vektor ranjivosti i sigurnosnih proboja (više od 80% korporativnih upada proizlazi iz napada isprobavanjem vjerodajnica ili ponovne upotrebe lozinki). Microsoft Authenticator prešao je put od jednostavnog TOTP klijenta do centralizirane krajnje točke nultog povjerenja (Zero-Trust) za prijavu bez lozinke.
Zahtijeva unos brojeva prikazanih u pregledniku u mobilnu aplikaciju, čime se neutralizira push bombardiranje.
Biometrijska autorizacija uparena s ključevima u hardverskoj enklavi uređaja u potpunosti eliminira lozinke.
Vjerodajnice poslovnih i školskih računa namjerno su isključene iz sigurnosnih kopija u oblaku radi usklađenosti.
Zasićenje MFA zahtjevima (Push Bombing) i obvezno podudaranje brojeva
Povijesno gledano, korisnicima najpristupačniji mehanizam višefaktorske autentifikacije bila je binarna push obavijest: dolazna obavijest koja je nudila jednostavan odabir između „Odobri” ili „Odbij”. U produkcijskim okruženjima, ovo sučelje s minimalnim otporom stvorilo je kritičnu ranjivost: **zasićenje MFA zahtjevima (MFA Fatigue)**.
1. Anatomija Lapsus$ proboja putem push bombardiranja
U zapaženim probojima protiv multinacionalnih kompanija (uključujući Uber i Okta), napadači su pribavili valjane lozinke zaposlenika putem baza procurjelih vjerodajnica na dark webu. Kako bi zaobišli sekundarni push upit, napadači su pokrenuli automatizirane skripte koje su slale desetke push zahtjeva u 2:00 sata ujutro. U stanju zbunjenosti, nervoze ili prekinutog sna, žrtve bi na kraju pritisnule „Odobri” samo kako bi utišale svoje telefone, trenutačno prepuštajući pristup internoj mreži napadaču.
2. Microsoftovo uvođenje obveznog podudaranja brojeva na globalnoj razini
Kako bi eliminirao ovaj vektor napada, Microsoft je uveo obvezno **podudaranje brojeva (Number Matching)** na svim Microsoft Entra ID (Azure AD) zakupcima i korisničkim računima:
- Dinamički prikaz broja: Zaslon za prijavu u pregledniku prikazuje pseudoslučajni dvoznamenkasti broj (npr.
73). - Ručni unos u aplikaciji: Mobilna obavijest traži od korisnika da otključa svoj uređaj i unese točan broj na interaktivnoj tipkovnici. Ne postoji općeniti gumb „Odobri”.
- Kontekstualna geolokacija i naziv aplikacije: Upit prikazuje naziv aplikacije koja traži pristup (npr. „Microsoft Office Web”) i geografsko podrijetlo temeljeno na IP adresi.
Budući da vanjski napadač ne može vidjeti broj prikazan na fizičkom zaslonu žrtve, a žrtva u snu ne može pogoditi koji broj treba upisati, **podudaranje brojeva smanjuje stopu uspješnosti automatiziranog push bombardiranja na nulu**.
Arhitektura prijave mobitelom bez lozinke
Prava autentifikacija bez lozinke nije tek automatsko popunjavanje lozinke u pozadini. Ona se oslanja na asimetričnu kriptografiju javnog ključa standardiziranu u okviru FIDO2 protokola, pretvarajući vaš mobilni uređaj u hardverski zaštićenu sigurnosnu enklavu.
Kriptografski tijek rada prijave mobitelom:
- Faza registracije: Omogućavanje prijave telefonom nalaže sigurnosnom hardveru pametnog telefona (Apple Secure Enclave ili Android StrongBox/TEE) generiranje asimetričnog para kriptografskih ključeva. Privatni ključ ostaje trajno izoliran u hardveru; javni se ključ registrira u servisu Microsoft Identity Cloud.
- Slanje kriptografskog izazova: Kada unesete svoje korisničko ime u preglednik, Microsoft izdaje privremeni kriptografski izazov (nonce) koji se prenosi putem APNs/FCM servisa na vaš registrirani uređaj.
- Biometrijska autorizacija: Korisnik lokalno potvrđuje identitet koristeći Face ID, Touch ID ili PIN uređaja. Ova hardverska radnja autorizira sigurnu enklavu za pristup privatnom ključu.
- Kriptografska potvrda (Assertion): Privatni ključ potpisuje poslužiteljski izazov i vraća potpis Microsoftovom pristupniku identiteta. Pristupnik provjerava potpis koristeći prethodno registrirani javni ključ i odobrava pristup. Lozinka nikada ne putuje mrežom.
- Dodajte svoj osobni račun u Microsoft Authenticator i omogućite opciju „Postavi prijavu telefonom” (Set up phone sign-in).
- Na računalu otvorite Microsoftove sigurnosne postavke:
account.live.com/proofs/manage/additional. - U odjeljku „Dodatna sigurnost” (Additional security) pronađite stavku **Račun bez lozinke** (Passwordless account) i odaberite **Uključi** (Turn on).
- Dovršite upit za podudaranje brojeva na svom mobilnom uređaju. Vaša je lozinka trajno izbrisana iz Microsoftovih baza podataka identiteta!
Osobni Microsoft računi (MSA) naspram poslovnih/školskih (Entra ID)
Korisnici često upravljaju s više računa unutar jedne aplikacije Authenticator. Korištenje osobnih korisničkih računa usporedno s korporativnim Entra ID identitetima uključuje bitno različite modele povjerenja.
| Metrika evaluacije | Osobni Microsoft račun (MSA) | Poslovni / školski račun (Entra ID) |
|---|---|---|
| Područje identiteta (Realm) | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| Administrativno upravljanje | Suverenitet krajnjeg korisnika | Globalni administrator zakupca i Intune MDM |
| Pravila uvjetnog pristupa | Standardno prepoznavanje rizika za korisnike | Zahtijeva usklađenost uređaja, provjerene IP raspone |
| Sigurnosna kopija u oblaku | ✅ Potpuna sigurnosna kopija u osobnu pohranu u oblaku | ❌ Privatni ključevi namjerno su isključeni |
| Vektor oporavka u hitnim slučajevima | Sekundarna e-pošta, SMS, 25-znamenkasti ključ za oporavak | IT podrška i Temporary Access Pass (TAP) |
Uvjetni pristup i hijerarhija snage autentifikacije
Unutar Microsoft Entra ID uvjetnog pristupa (Conditional Access), administratori mogu strukturirati autentifikaciju u tri stroge razine koristeći mehanizam **snage autentifikacije (Authentication Strengths)**:
Višefaktorska autentifikacija
Prihvaća SMS OTP, glasovne pozive, standardni 6-znamenkasti TOTP ili push odobrenja. Prikladno za osnovni pristup s umjerenom izloženošću riziku.
Prijava mobitelom bez lozinke
Zahtijeva prijavu telefonom putem aplikacije Microsoft Authenticator ili Windows Hello for Business. Uklanja ranjive lozinke podložne phishingu s pristupnog puta.
FIDO2 i autentifikacija putem certifikata
Prihvaća isključivo FIDO2 sigurnosne ključeve (YubiKey) i pametne kartice temeljene na certifikatima (CBA). **Obvezni standard usklađenosti za globalne administratore**.
Pristupni ključevi (Passkeys - FIDO2 WebAuthn) naspram prijave mobitelom: Kriptografska razlika
Arhitekti korporativnih sustava često poistovjećuju Microsoftovu klasičnu „Prijavu telefonom bez lozinke” s novostandardiziranim „Pristupnim ključem (Passkey) u Authenticatoru”. Iako oba pružaju jednostavno biometrijsko iskustvo krajnjem korisniku, njihova interna kriptografska arhitektura bitno se razlikuje:
- Prijava telefonom (Phone Sign-In): Oslanja se na Microsoftovu vlasničku arhitekturu Azure AD Broker. Uređaj se registrira izravno u Entra ID-u, generirajući asimetrični par ključeva vezan isključivo za izvršno okruženje aplikacije Authenticator.
- Pristupni ključevi (Passkeys - FIDO2 WebAuthn): Usklađeni su s globalnom specifikacijom W3C Web Authentication. Privatni ključ generira se i trajno pohranjuje unutar hardverske enklave uređaja: **Secure Enclave (Apple iOS)** ili **hardverski zaštićenog Keystorea / StrongBoxa (Android)**. Prilikom autentifikacije na radnim stanicama, FIDO autentifikacija među uređajima (Cross-Device Authentication) koristi šifrirano rukovanje putem QR kodova u kombinaciji s Bluetooth Low Energy (BLE) signalima blizine, čime se jamči fizička prisutnost pametnog telefona neposredno uz zaslon za prijavu, što udaljeni phishing čini matematički nemogućim.
Procjena kontinuiranog pristupa (CAE) i obrana od krađe tokena:
Standardni OAuth 2.0 pristupni tokeni imaju zadani prozor valjanosti od 1 sata. Ako napadač ukrade aktivni sesijski token putem zlonamjernog softvera za krađu informacija (infostealer), deaktivacija korisničkog računa u Active Directoryju obično ostavlja opasan vremenski prozor ranjivosti. Microsoft Entra ID rješava ovaj problem mehanizmom **Continuous Access Evaluation (CAE)**. Kroz trajni komunikacijski kanal događaja u stvarnom vremenu između Entra ID-a i servisa Microsoft 365 (Exchange, Teams, SharePoint), kritični događaji — poput opoziva lozinke, onemogućavanja korisnika ili naglog skoka geolokacijskog rizika IP adrese — prekidaju aktivne tokene unutar nekoliko minuta.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM zaštita krajnjih točaka za mobilne aplikacije
U implementacijama modela BYOD (koristi vlastiti uređaj), osobni mobilni operativni sustavi mogu sadržavati zlonamjerni softver, alate za bilježenje tipki (keyloggere) ili kompromitirane servise pristupačnosti. Microsoft Authenticator integrira se s Intune MAM pravilima zaštite aplikacija kako bi primijenio hardversku izolaciju (sandboxing) bez potrebe za invazivnim upravljanjem mobilnim uređajima (MDM):
- Obvezno biometrijsko zaključavanje: Zahtijeva Face ID / Touch ID / Android biometrijsko otključavanje prije pristupa bilo kojem korporativnom TOTP tokenu ili upitu za podudaranje brojeva.
- Blokada snimanja zaslona: Onemogućuje snimke zaslona i video snimanje na razini operativnog sustava unutar sučelja aplikacije Authenticator na Androidu i iOS-u.
- Otkrivanje jailbreaka i roota: Odmah blokira izdavanje tokena i poništava vjerodajnice za prijavu telefonom ako je integritet mobilnog OS-a narušen.
Privremena pristupna propusnica (TAP): Uvođenje korisnika bez lozinke
Kada se novi zaposlenik pridruži tvrtki ili kada zaposlenik izgubi pametni telefon, kako registrirati aplikaciju Authenticator ako je organizacija zabranila lozinke? Rješenje je **privremena pristupna propusnica (Temporary Access Pass - TAP)**:
Životni ciklus uvođenja putem korporativnog TAP-a:
- Administrator izdaje TAP: IT podrška u Entra administratorskom centru generira vremenski ograničenu, kriptografski nasumičnu propusnicu (npr. valjanu 4 sata, za jednokratnu upotrebu).
- Korisnik pristupa sigurnosnim podacima: Zaposlenik otvara
https://aka.ms/mysecurityinfona svojoj radnoj stanici. - Autentifikacija putem TAP-a: Unos privremenog koda zadovoljava sve MFA zahtjeve uvjetnog pristupa za početno postavljanje.
- Uparivanje uređaja: Zaposlenik registrira Microsoft Authenticator skeniranjem QR koda. U niti jednom trenutku njihova radnog odnosa trajna lozinka uopće ne postoji!
Standardno RFC 6238 TOTP upravljanje i vanjske usluge
Osim posluživanja Microsoftovih ekosustava, Microsoft Authenticator funkcionira kao univerzalni RFC 6238 TOTP pogon. Može pohranjivati tokene za Amazon, GitHub, Google, AWS i kripto burze.
Registracija vanjskih platformi:
Dodirnite „+” u gornjem desnom kutu -> odaberite **„Ostalo (Google, Facebook, itd.)”**. Skenirajte QR kod treće strane. Aplikacija pokreće standardne HMAC-SHA1 izračune koji se osvježavaju u intervalima od 30 sekundi.
**Da.** Prilikom postavljanja verifikacije u dva koraka u postavkama Microsoftove sigurnosti, odaberite „Želim postaviti drugu aplikaciju za provjeru autentičnosti”. Microsoft prikazuje standardni Base32 tajni niz. Taj ključ možete unijeti u **2FA-Tool.com** za 100% lokalni izračun tokena u pregledniku na računalu.
Sigurnosna kopija u oblaku i migracija uređaja: Tri kritične zamke
Microsoft Authenticator pruža značajku sigurnosnog kopiranja u oblaku (Cloud Backup), no arhitektonska ograničenja stvaraju opasne zamke za neoprezne korisnike:
Zamka 1: Poslovni i školski računi nikada se ne spremaju s vjerodajnicama
Kada vratite sigurnosnu kopiju Authenticatora na novi telefon, svi TOTP tokeni trećih strana i osobni Microsoft računi obnavljaju se besprijekorno. Međutim, **svi poslovni i obrazovni Entra ID unosi prikazivat će crveni uskličnik: „Potrebna je radnja – neophodna ponovna provjera autentičnosti”**. Sigurnosna pravila tvrtki zabranjuju izvoz organizacijskih ključeva u osobne potrošačke oblake. Novi telefon morate ponovno registrirati iz aktivne sesije na računalu tvrtke!
Zamka 2: Podjela među operativnim sustavima (iOS vs. Android)
Na sustavu iOS Microsoft Authenticator šifrira sigurnosne kopije u **Apple iCloud Keychain**. Na sustavu Android sigurnosne kopije šifrira u vaš **osobni Microsoft OneDrive**. Između ovih oblaka postoji apsolutno nulta interoperabilnost. **Sigurnosnu kopiju Authenticatora s iPhonea ne možete izravno vratiti na Android uređaj**, niti obrnuto. Migracija među platformama zahtijeva ručno skeniranje kodova na novi uređaj prije brisanja staroga.
Zamka 3: Začarani krug „Prijava nasuprot Vraćanju kopije”
Kada otvorite novu instalaciju Authenticatora na novom telefonu, na dnu se nalazi diskretna poveznica: **„Vrati iz sigurnosne kopije” (Restore from backup)**. **Morate dodirnuti „Vrati iz sigurnosne kopije” prije dodavanja bilo kojeg računa!** Ako najprije dodirnete „Dodaj račun”, aplikacija će od vas tražiti 2FA kod za potvrdu identiteta — kod koji je zaključan unutar još nevraćene sigurnosne kopije, stvarajući nerješivu blokadu.
Rješavanje problema: Prekidi obavijesti i oporavak
Problem 1: Push obavijesti za podudaranje brojeva nikada ne stižu na telefon
- Agresivna optimizacija baterije (Android): Mnoga korisnička sučelja proizvođača gase pozadinske servise. Izuzmite Microsoft Authenticator iz optimizacije baterije u postavkama operativnog sustava.
- Prekid servisa Google Play: Uređaji bez Googleovih servisa ne mogu primati standardna FCM pozadinska upozorenja. Otvorite aplikaciju ručno kako biste pokrenuli provjeru.
- Ograničenja VPN usmjeravanja: Određeni korporativni ili regionalni VPN tuneli prekidaju trajne TLS veze prema Microsoftovim poslužiteljima za push obavijesti.
Problem 2: Telefon uništen bez sigurnosne kopije — Oporavak korporativnog pristupa
Dok se osobni računi oslanjaju na samostalne ključeve za oporavak, **korisnici korporativnog Entra ID-a imaju namjenski put za oporavak**:
Obratite se IT podršci svoje organizacije. Administrator može otvoriti Entra administratorski centar, pregledati vaš korisnički profil u odjeljku Metode provjere autentičnosti i izdati **Temporary Access Pass (TAP)** s trajanjem od 8 sati. Ova jednokratna vjerodajnica zaobilazi MFA, omogućujući vam prijavu i registraciju novog zamjenskog uređaja.
Često postavljana pitanja (FAQ)
Mogu li koristiti prijavu putem telefona dok je uređaj u zrakoplovnom načinu rada? ▼
Upiti za podudaranje brojeva zahtijevaju aktivnu mrežnu vezu za primanje izazova. Ako je vaš telefon izvan mreže, na zaslonu za prijavu u pregledniku odaberite „Trenutačno ne mogu koristiti aplikaciju Microsoft Authenticator”, a zatim odaberite „Upotrijebi kontrolni kod”. Otvorite Authenticator i unesite lokalno generirani 6-znamenkasti TOTP kod koji funkcionira potpuno izvan mreže.
Kako se Microsoft Authenticator može usporediti s Google Authenticatorom? ▼
Za Microsoft 365, Azure i korporativne radne procese, Microsoft Authenticator je znatno napredniji zahvaljujući izvornom podudaranju brojeva i podršci za pristupne ključeve (passkeys) bez lozinke. Za općenito upravljanje korisničkim TOTP tokenima na raznolikim uređajima (prelazak između iOS-a i Androida), jedinstvena sinkronizacija Google računa u oblaku koju nudi Google Authenticator pruža jednostavniju migraciju među operativnim sustavima.
Što se događa ako slučajno izbrišem aplikaciju Microsoft Authenticator? ▼
Ako je sigurnosno kopiranje u oblaku bilo omogućeno prije brisanja, ponovno instalirajte aplikaciju i dodirnite „Vrati iz sigurnosne kopije” na početnom zaslonu. Prijavite se računom za oporavak (Microsoft račun ili Apple ID) kako biste preuzeli svoje tokene. Ako sigurnosna kopija nije bila aktivna, upotrijebite sekundarnu adresu e-pošte za hitni oporavak, SMS kod ili 25-znamenkasti ključ za oporavak računa kako biste ponovno stekli pristup.
Sigurno generirajte univerzalne 2FA tokene
Trebate RFC 6238 TOTP izračune na strani klijenta za svoje korporativne konzole u oblaku, Git repozitorije i društvene mreže? Koristite mrežni alat 2FA-Tool koji pruža 100% izvanmrežni rad i potpunu privatnost.