Visoje „Microsoft“ pasaulinėje ekosistemoje, apimančioje „Microsoft 365“, „Azure“, „Windows Hello“ ir daugiau nei milijardą vartotojų paskyrų, slaptažodžiai pripažįstami pagrindiniu saugumo pažeidimų vektoriumi (daugiau nei 80 % įmonių įsilaužimų kyla dėl pavogtų prisijungimo duomenų ar pakartotinio slaptažodžių naudojimo). Microsoft Authenticator iš paprasto TOTP kliento evoliucionavo į centralizuotą, nulinio pasitikėjimo prieigos tašką be slaptažodžių.
Reikalauja įvesti naršyklėje rodomą skaičių į mobiliąją programėlę, neutralizuojant pranešimų bombordavimą.
Biometrinis autorizavimas kartu su įrenginio saugumo anklavo raktais visiškai panaikina slaptažodžius.
Darbo ir mokymo paskyrų raktai atitikties sumetimais sąmoningai neįtraukiami į vartotojų debesų kopijas.
MFA nuovargis (Push Bombing) ir privalomas skaičių derinimas
Ilgą laiką patogiausias kelių veiksnių autentifikavimo mechanizmas buvo paprastas pranešimas telefone: gaunamas pranešimas su pasirinkimais „Patvirtinti“ arba „Atmesti“. Tačiau gamybinėse aplinkose ši sklandi sąsaja sukūrė kritinę spragą: MFA nuovargį (MFA Fatigue).
1. „Lapsus$“ pranešimų bombordavimo atakų anatomija
Garsių įsilaužimų į tarptautines įmones (įskaitant „Uber“ ir „Okta“) metu programišiai gavo galiojančius darbuotojų slaptažodžius iš nutekintų duomenų bazių. Norėdami apeiti antrinį patvirtinimą, užpuolikai naudojo automatizuotus scenarijus, kurie 2:00 nakties siuntė dešimtis pranešimų į darbuotojų telefonus. Supainiotos, susierzinusios ar pažadintos aukos galiausiai paspausdavo „Patvirtinti“ vien tam, kad nutildytų telefoną, akimirksniu suteikdamos priešui prieigą prie vidinio tinklo.
2. Privalomas „Microsoft“ skaičių derinimo įdiegimas visame pasaulyje
Siekdama panaikinti šį atakos vektorių, „Microsoft“ įdiegė privalomą Skaičių derinimą (Number Matching) visose „Microsoft Entra ID“ (buvusi „Azure AD“) organizacijose ir vartotojų paskyrose:
- Dinaminis skaičiaus rodymas: naršyklės prisijungimo ekrane parodomas atsitiktinis 2 skaitmenų skaičius (pvz.,
73). - Rankinis įvedimas programėlėje: mobilusis pranešimas reikalauja atrakinti įrenginį ir įvesti tikslų skaičių į interaktyvią klaviatūrą. Bendro mygtuko „Patvirtinti“ nebėra.
- Kontekstinė geolokacija ir programos pavadinimas: pranešime rodoma užklausą pateikusi programa (pvz., „Microsoft Office Web“) ir apytikslė geografinė vieta pagal IP adresą.
Kadangi nuotolinis užpuolikas nemato skaičiaus, rodomo aukos monitoriuje, o mieganti auka negali atspėti įvedamo skaičiaus, skaičių derinimas sumažina automatizuotų pranešimų bombordavimo atakų sėkmės rodiklį iki nulio.
Prisijungimo telefonu be slaptažodžio architektūra
Tikrasis prisijungimas be slaptažodžio nėra tik automatinis slaptažodžio įrašymas fone. Jis remiasi asimetrine viešojo rakto kriptografija pagal FIDO2 standartą, paverčiant jūsų mobilųjį įrenginį aparatiškai apsaugotu saugumo anklavu.
Prisijungimo telefonu kriptografinė eiga:
- Registracijos fazė: įjungus prisijungimą telefonu, išmaniojo telefono saugumo aparatinei įrangai („Apple Secure Enclave“ arba „Android StrongBox/TEE“) nurodoma sugeneruoti asimetrinę raktų porą. Privatusis raktas lieka visam laikui izoliuotas aparatinėje įrangoje; viešasis raktas užregistruojamas „Microsoft Identity Cloud“.
- Iššūkio siuntimas: naršyklėje įvedus naudotojo vardą, „Microsoft“ sugeneruoja trumpalaikį kriptografinį iššūkį (nonce), kuris per APNs/FCM tarnybas nusiunčiamas į jūsų registruotą įrenginį.
- Biometrinis autorizavimas: naudotojas patvirtina savo tapatybę vietoje naudodamas „Face ID“, „Touch ID“ arba įrenginio PIN kodą. Šis veiksmas atrakina saugumo anklavo prieigą prie privačiojo rakto.
- Kriptografinis patvirtinimas: privatusis raktas pasirašo serverio iššūkį ir grąžina parašą į „Microsoft“ tapatybės vartus. Vartai patikrina parašą naudodami iš anksto užregistruotą viešąjį raktą ir suteikia prieigą. Joks slaptažodis niekada nekeliauja tinklu.
- Pridėkite asmeninę paskyrą prie Microsoft Authenticator ir įjunkite „Nustatyti prisijungimą telefonu“.
- Kompiuteryje atidarykite „Microsoft“ saugumo parametrus:
account.live.com/proofs/manage/additional. - Skyriuje „Papildoma sauga“ raskite Paskyra be slaptažodžio ir pasirinkite Įjungti.
- Atlikite skaičių derinimo patvirtinimą savo telefone. Jūsų slaptažodis bus visam laikui ištrintas iš „Microsoft“ tapatybės duomenų bazių!
Asmeninė Microsoft paskyra (MSA) prieš darbo/mokymo įstaigos (Entra ID)
Naudotojai vienoje Authenticator programėlėje dažnai valdo kelias paskyras. Asmeninių vartotojų paskyrų ir įmonės „Entra ID“ tapatybių veikimas remiasi iš esmės skirtingais pasitikėjimo modeliais.
| Vertinimo rodiklis | Asmeninė Microsoft paskyra (MSA) | Darbo / mokymo paskyra (Entra ID) |
|---|---|---|
| Tapatybės sritis | @outlook.com, @hotmail.com, @live.com | @imone.lt, @universitetas.lt |
| Administracinis valdymas | Galutinio naudotojo suverenumas | Visuotiniai administratoriai ir Intune MDM |
| Sąlyginės prieigos taisyklės | Standartinis vartotojo rizikos aptikimas | Priverstinė įrenginio atitiktis, patikimi IP rėžiai |
| Debesies atsarginių kopijų palaikymas | ✅ Pilnai sukuriama asmeniniame debesyje | ❌ Privatieji raktai sąmoningai neįtraukiami |
| Avarinio atkūrimo būdas | Antrinis el. paštas, SMS, 25 simbolių atkūrimo raktas | IT pagalbos tarnybos laikinas prieigos leidimas (TAP) |
Sąlyginė prieiga ir autentifikavimo stiprumo hierarchija
Naudodami „Microsoft Entra ID“ sąlyginę prieigą (Conditional Access), administratoriai gali struktūrizuoti autentifikavimą į tris griežtus lygius, taikydami Autentifikavimo stiprumą (Authentication Strengths):
Daugiafaktorinis autentifikavimas
Priima SMS OTP, balso skambučius, standartinius 6 skaitmenų TOTP arba tiesioginius patvirtinimus. Tinka bazinei prieigai su vidutine rizika.
Prisijungimas telefonu be slaptažodžio
Reikalauja Microsoft Authenticator prisijungimo telefonu arba „Windows Hello for Business“. Pašalina pažeidžiamus slaptažodžius iš prisijungimo grandinės.
FIDO2 ir sertifikatais pagrįstas
Priima tik FIDO2 saugumo raktus (YubiKey) ir CBA lustines korteles. Privalomas atitikties reikalavimas visuotiniams administratoriams.
Slaptažodžiai (FIDO2 WebAuthn) prieš prisijungimą telefonu: kriptografinė atskirtis
Sistemų architektai dažnai painioja senesnį „Microsoft“ prisijungimą telefonu be slaptažodžio su naujai standartizuotais slaptažodžiais (Passkeys) Authenticator programėlėje. Nors abu galutiniam naudotojui pateikia sklandų biometrinį raginimą, jų vidinė kriptografinė mechanika iš esmės skiriasi:
- Prisijungimas telefonu: remiasi patentuota „Microsoft Azure AD Broker“ architektūra. Įrenginys registruojasi tiesiogiai „Entra ID“, sugeneruodamas asimetrinę raktų porą, susietą tik su Authenticator programėlės vykdymo aplinka.
- Slaptažodžiai (FIDO2 WebAuthn): atitinka visuotinę W3C Web Authentication specifikaciją. Privatusis raktas sugeneruojamas ir užrakinamas tiesiogiai įrenginio aparatinėje įrangoje: Secure Enclave (Apple iOS) arba StrongBox / Hardware Keystore (Android). Jungiantis per skirtingus įrenginius, FIDO kelių įrenginių autentifikavimas naudoja šifruotus QR rankos paspaudimus ir Bluetooth Low Energy (BLE) artumo signalus, užtikrindamas, kad išmanusis telefonas fiziškai yra šalia ekrano, todėl nuotolinis sukčiavimas tampa matematiškai neįmanomas.
Nuolatinis prieigos vertinimas (CAE) ir apsauga nuo žetonų vagystės:
Standartiniai OAuth 2.0 prieigos žetonai galioja 1 valandą. Jei užpuolikas pavagia aktyvų sesijos žetoną per kenkėjišką programą, paskyros išjungimas „Active Directory“ anksčiau palikdavo pavojingą laiko tarpą. „Microsoft Entra ID“ tai sprendžia naudodama Nuolatinį prieigos vertinimą (Continuous Access Evaluation – CAE). Realaus laiko įvykių kanalu tarp „Entra ID“ ir „Microsoft 365“ paslaugų (Exchange, Teams, SharePoint) kritiniai įvykiai (slaptažodžio atšaukimas, naudotojo išjungimas, IP rizikos padidėjimas) nutraukia aktyvius žetonus per kelias minutes.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM galutinių taškų apsauga
BYOD (asmeninių įrenginių darbe) aplinkose asmeniniuose telefonuose gali būti kenkėjiškų programų ar klaviatūros pasiklausymo įrankių. Microsoft Authenticator integruojasi su „Intune MAM“ apsaugos taisyklėmis, užtikrindamas aparatinį izoliavimą nereikalaudamas visiško įrenginio valdymo (MDM):
- Privalomas biometrinis užraktas: reikalauja „Face ID“, „Touch ID“ ar biometrinio atrakinimo prieš pasiekiant bet kurį įmonės TOTP kodą ar skaičių derinimo langą.
- Ekrano kopijų blokavimas: blokuoja ekrano kopijų darymą ir vaizdo įrašymą Authenticator sąsajoje „Android“ ir „iOS“ sistemose.
- Jailbreak ir Root aptikimas: blokuoja kodų išdavimą ir nedelsiant panaikina prisijungimo telefonu duomenis, jei pažeistas telefono operacinės sistemos vientisumas.
Laikinas prieigos leidimas (TAP): nustatymas be slaptažodžio
Kai prie įmonės prisijungia naujas darbuotojas arba pametamas telefonas, kaip užregistruoti Authenticator programėlę, jei organizacijoje visiškai uždrausti slaptažodžiai? Atsakymas yra Laikinas prieigos leidimas (Temporary Access Pass – TAP):
Įmonės TAP registracijos gyvavimo ciklas:
- Administratorius išduoda TAP: IT pagalbos tarnyba „Entra“ administravimo centre sugeneruoja riboto laiko (pvz., galiojantį 4 valandas, vienkartinį) kriptografiškai saugų kodą.
- Darbuotojas atidaro saugumo informacijos puslapį: darbuotojas savo kompiuteryje atveria
https://aka.ms/mysecurityinfo. - Autentifikavimas per TAP: laikinojo kodo pateikimas tenkina visus sąlyginės prieigos MFA reikalavimus pirminiam nustatymui.
- Įrenginio susiejimas: darbuotojas užregistruoja Microsoft Authenticator nuskenuodamas QR kodą. Per visą darbo laikotarpį joks nuolatinis slaptažodis net nebuvo sukurtas!
Standartinis RFC 6238 TOTP valdymas ir trečiųjų šalių paslaugos
Be „Microsoft“ paslaugų, Microsoft Authenticator veikia kaip universalus RFC 6238 TOTP generatorius. Jame galima saugoti „Amazon“, „GitHub“, „Google“, „AWS“ ir kriptovaliutų biržų kodus.
Išorinių platformų pridėjimas:
Bakstelėkite „+“ viršutiniame dešiniajame kampe -> pasirinkite „Kita (Google, Facebook ir kt.)“. Nuskenuokite paslaugos QR kodą. Programėlė pradeda standartinius HMAC-SHA1 skaičiavimus kas 30 sekundžių.
Taip. Nustatydami dviejų etapų patvirtinimą „Microsoft“ saugumo nustatymuose, pasirinkite „Noriu nustatyti kitą autentifikavimo programėlę“. „Microsoft“ parodys standartinį Base32 rakto tekstą. Šį raktą galite įklijuoti į 2FA-Tool.com ir apskaičiuoti kodus 100 % vietoje savo kompiuterio naršyklėje.
Debesies atsarginės kopijos ir įrenginio perkėlimas: trys esminiai spąstai
Microsoft Authenticator siūlo debesies atsarginės kopijos funkciją, tačiau architektūriniai apribojimai gali tapti pavojingais spąstais nepasiruošusiems naudotojams:
1 spąstai: darbo ir mokymo paskyros niekada neišsaugomos su prisijungimo raktais
Atkūrus Authenticator atsarginę kopiją naujame telefone, visi trečiųjų šalių TOTP kodai ir asmeninės „Microsoft“ paskyros atsikuria sklandžiai. Tačiau prie visų įmonės ir mokymo įstaigos „Entra ID“ įrašų atsiras raudonas šauktukas: „Reikalingas veiksmas – būtina iš naujo autentifikuotis“. Įmonių saugumo taisyklės griežtai draudžia eksportuoti organizacijos raktus į asmeninius vartotojų debesis. Naująjį telefoną privalote iš naujo susieti iš aktyvios kompiuterio sesijos!
2 spąstai: operacinių sistemų ekosistemos atskirtis („iOS“ prieš „Android“)
„iOS“ sistemoje Microsoft Authenticator užšifruoja atsargines kopijas į „Apple iCloud Keychain“. „Android“ sistemoje atsarginės kopijos šifruojamos į jūsų asmeninį „Microsoft OneDrive“. Tarp šių debesų nėra jokio suderinamumo. Negalite atkurti „iPhone Authenticator“ atsarginės kopijos tiesiogiai į „Android“ įrenginį ir atvirkščiai. Keičiant platformą, būtina rankiniu būdu nuskenuoti kodus į naują įrenginį prieš ištrinant senąjį.
3 spąstai: „Prisijungti ar atkurti“ vištos ir kiaušinio aklavietė
Pirmą kartą atidarius šviežiai įdiegtą Authenticator programėlę naujame telefone, ekrano apačioje yra subtili nuoroda: „Atkurti iš atsarginės kopijos“. Privalote paspausti „Atkurti iš atsarginės kopijos“ prieš pridedant bet kokias paskyras! Jei pirmiausia paspausite „Pridėti paskyrą“, programėlė paprašys 2FA kodo tapatybei patvirtinti – kodo, kuris užrakintas dar neatkurtoje atsarginėje kopijoje, taip sukuriant neišsprendžiamą aklavietę.
Trikčių šalinimas: pranešimų sutrikimai ir atkūrimas
1 problema: Skaičių derinimo pranešimai nepasiekia telefono
- Agresyvus baterijos optimizavimas („Android“): daugelis gamintojų programinės įrangos nutraukia foninius procesus. Išimkite Microsoft Authenticator iš baterijos optimizavimo sąrašo operacinės sistemos nustatymuose.
- „Google Play Services“ sutrikimai: įrenginiai be „Google“ paslaugų negali gauti standartinių FCM pranešimų. Atidarykite programėlę rankiniu būdu, kad priverstinai patikrintumėte užklausas.
- VPN maršruto apribojimai: tam tikri įmonių ar regioniniai VPN tuneliai nutraukia nuolatinius TLS ryšius su „Microsoft“ pranešimų serveriais.
2 problema: Telefonas sugadintas be atsarginės kopijos – įmonės prieigos atkūrimas
Nors asmeninės paskyros remiasi savitarnos atkūrimo raktais, įmonių „Entra ID“ naudotojai turi specialų atkūrimo kelią:
Kreipkitės į savo organizacijos IT pagalbos tarnybą. Administratorius gali atidaryti „Entra“ administravimo centrą, peržiūrėti jūsų naudotojo profilį skiltyje „Autentifikavimo metodai“ ir išduoti 8 valandų Laikiną prieigos leidimą (TAP). Šis vienkartinis kodas apeina MFA, leidžia prisijungti ir užregistruoti naują įrenginį.
Dažniausiai užduodami klausimai (DUK)
Ar galiu naudoti prisijungimą telefonu, kai įrenginys veikia lėktuvo režimu? ▼
Skaičių derinimo pranešimams reikalingas aktyvus interneto ryšys iššūkiui gauti. Jei telefonas neprisijungęs prie tinklo, naršyklės prisijungimo lange pasirinkite „Šiuo metu negaliu naudoti Microsoft Authenticator programėlės“, tada pasirinkite „Naudoti patvirtinimo kodą“. Atidarykite programėlę ir įveskite vietoje sugeneruotą 6 skaitmenų TOTP kodą, kuris veikia visiškai autonomiškai.
Kuo Microsoft Authenticator skiriasi nuo Google Authenticator? ▼
„Microsoft 365“, „Azure“ ir įmonių darbo procesams Microsoft Authenticator yra žymiai pranašesnis dėl integruoto skaičių derinimo ir prisijungimo be slaptažodžio. Bendrai vartotojų TOTP kodų priežiūrai tarp skirtingų operacinių sistemų („iOS“ ir „Android“) „Google Authenticator“ debesies sinchronizavimas su „Google“ paskyra suteikia paprastesnį perkėlimą.
Kas nutinka, jei netyčia ištrinu Microsoft Authenticator programėlę? ▼
Jei debesies atsarginė kopija buvo įjungta prieš ištrynimą, iš naujo įdiekite programėlę ir pradiniame lange bakstelėkite „Atkurti iš atsarginės kopijos“. Autentifikuokitės naudodami atkūrimo „Microsoft“ paskyrą (arba „Apple ID“), kad susigrąžintumėte savo kodus. Jei atsarginė kopija nebuvo įjungta, naudokite avarinį el. paštą, SMS kodą arba 25 simbolių atkūrimo raktą prieigai atkurti.
Generuokite universalius 2FA kodus saugiai
Reikia kliento pusės RFC 6238 TOTP skaičiavimų įmonės debesijos pultams, „Git“ saugykloms ir socialinėms paskyroms? Naudokite 2FA-Tool 100 % autonominį, privatumą saugantį žiniatinklio įrankį.