Microsoft 365, Azure, Windows Hello, നൂറുകോടിയിലധികം വരുന്ന ഉപഭോക്തൃ ഐഡന്റിറ്റികൾ എന്നിവ ഉൾപ്പെടുന്ന മൈക്രോസോഫ്റ്റിന്റെ ആഗോള പരിസ്ഥിതിയിൽ, സുരക്ഷാ ലംഘനങ്ങളുടെ പ്രധാന കാരണമായി കണക്കാക്കുന്നത് പാസ്‌വേഡുകളെയാണ് (എന്റർപ്രൈസ് നുഴഞ്ഞുകയറ്റങ്ങളിൽ 80 ശതമാനത്തിലധികവും ക്രെഡൻഷ്യൽ സ്റ്റഫിംഗിൽ നിന്നോ പാസ്‌വേഡ് പുനരുപയോഗത്തിൽ നിന്നോ ഉണ്ടാകുന്നതാണ്). ഒരു സാധാരണ TOTP ക്ലയന്റിൽ നിന്ന് കേന്ദ്രീകൃതവും സീറോ-ട്രസ്റ്റ് അധിഷ്ഠിതവുമായ പാസ്‌വേഡ്‌ലെസ് എൻഡ്‌പോയിന്റായി Microsoft Authenticator മാറിയിരിക്കുന്നു.
ബ്രൗസറിൽ കാണിക്കുന്ന സംഖ്യ മൊബൈൽ ആപ്പിൽ നൽകുന്നത് നിർബന്ധമാക്കുന്നതിലൂടെ പുഷ് ബോംബിംഗ് തടയുന്നു.
ഉപകരണത്തിലെ സുരക്ഷിത ഹാർഡ്‌വെയർ കീകൾക്കൊപ്പം ബയോമെട്രിക് ഓതറൈസേഷൻ പാസ്‌വേഡുകളെ പൂർണ്ണമായി ഇല്ലാതാക്കുന്നു.
വർക്ക്/സ്കൂൾ അക്കൗണ്ട് കീകൾ അനുവർത്തന നിയമങ്ങൾ പാലിച്ച് ക്ലൗഡ് ബാക്കപ്പുകളിൽ നിന്ന് മനഃപൂർവ്വം ഒഴിവാക്കപ്പെടുന്നു.
MFA ഫാറ്റീഗ് (Push Bombing) & നമ്പർ മാച്ചിംഗ് നിർബന്ധമാക്കൽ
മുമ്പ്, മൾട്ടി-ഫാക്ടർ ഓതന്റിക്കേഷന്റെ ഏറ്റവും ലളിതമായ രീതി ഒരു ബൈനറി പുഷ് പ്രോംപ്റ്റായിരുന്നു: "Approve" അല്ലെങ്കിൽ "Deny" എന്ന് കാണിക്കുന്ന ഒരു നോട്ടിഫിക്കേഷൻ. എന്നാൽ പ്രൊഡക്ഷൻ പരിതസ്ഥിതികളിൽ ഈ ലളിതമായ ഇന്റർഫേസ് ഒരു നിർണായക അപകടമുണ്ടാക്കി: MFA ഫാറ്റീഗ് (MFA Fatigue).
1. Lapsus$ പുഷ്-ബോംബിംഗ് നുഴഞ്ഞുകയറ്റത്തിന്റെ രീതി
വൻകിട സ്ഥാപനങ്ങൾക്ക് (Uber, Okta എന്നിവയുൾപ്പെടെ) എതിരെയുള്ള ആക്രമണങ്ങളിൽ, ഡാർക്ക്-വെബ് ഡാറ്റാബേസുകളിൽ നിന്ന് ഹാക്കർമാർ ജീവനക്കാരുടെ യഥാർത്ഥ പാസ്‌വേഡുകൾ നേടി. തുടർന്ന് രണ്ടാമത്തെ പുഷ് പ്രോംപ്റ്റ് മറികടക്കാൻ, പുലർച്ചെ 2:00 മണിക്ക് ജീവനക്കാരുടെ ഫോണുകളിലേക്ക് തുടർച്ചയായി ഡസൻ കണക്കിന് പുഷ് അഭ്യർത്ഥനകൾ അയയ്ക്കുന്ന ഓട്ടോമേറ്റഡ് സ്ക്രിപ്റ്റുകൾ അവർ പ്രവർത്തിപ്പിച്ചു. ഉറക്കച്ചടവിലും ആശയക്കുഴപ്പത്തിലും അസ്വസ്ഥതയിലും, നോട്ടിഫിക്കേഷൻ ശല്യം ഒഴിവാക്കാൻ ഉപയോക്താക്കൾ ഒടുവിൽ "Approve" അമർത്തുകയും ഹാക്കർക്ക് നെറ്റ്‌വർക്ക് ആക്സസ് ലഭിക്കുകയും ചെയ്തു.
2. മൈക്രോസോഫ്റ്റിന്റെ ആഗോള നമ്പർ മാച്ചിംഗ് നിർബന്ധമാക്കൽ
ഈ ആക്രമണ സാധ്യത പൂർണ്ണമായി ഒഴിവാക്കാൻ, എല്ലാ Microsoft Entra ID (മുമ്പത്തെ Azure AD) ടെനന്റുകളിലും ഉപഭോക്തൃ അക്കൗണ്ടുകളിലും നമ്പർ മാച്ചിംഗ് (Number Matching) മൈക്രോസോഫ്റ്റ് നിർബന്ധമാക്കി:
- ഡൈനാമിക് നമ്പർ ഡിസ്‌പ്ലേ: ബ്രൗസർ ലോഗിൻ സ്ക്രീനിൽ ക്രമരഹിതമായ 2-അക്ക സംഖ്യ കാണിക്കുന്നു (ഉദാഹരണത്തിന്,
73). - ആപ്പിൽ നേരിട്ട് നൽകൽ: മൊബൈൽ നോട്ടിഫിക്കേഷൻ ഫോൺ അൺലോക്ക് ചെയ്യാൻ ആവശ്യപ്പെടുകയും ഈ കൃത്യമായ നമ്പർ ഒരു കീപാഡിൽ ടൈപ്പ് ചെയ്യാൻ നിർദ്ദേശിക്കുകയും ചെയ്യുന്നു. പൊതുവായ "Approve" ബട്ടൺ ഉണ്ടായിരിക്കില്ല.
- സന്ദർഭോചിത ലൊക്കേഷനും ആപ്പ് വിവരങ്ങളും: അഭ്യർത്ഥിച്ച ആപ്ലിക്കേഷന്റെ പേരും (ഉദാ: "Microsoft Office Web") IP അടിസ്ഥാനമാക്കിയുള്ള ഭൂമിശാസ്ത്രപരമായ ലൊക്കേഷനും നോട്ടിഫിക്കേഷനിൽ പ്രദർശിപ്പിക്കുന്നു.
ഒരു റിമോട്ട് അറ്റാക്കർക്ക് ഇരയുടെ മോണിറ്ററിൽ കാണിക്കുന്ന നമ്പർ കാണാൻ കഴിയില്ലെന്നതിനാലും, ഉറങ്ങുന്ന വ്യക്തിക്ക് നൽകേണ്ട നമ്പർ കൃത്യമായി ഊഹിക്കാൻ കഴിയില്ലെന്നതിനാലും, നമ്പർ മാച്ചിംഗ് ഓട്ടോമേറ്റഡ് പുഷ്-ബോംബിംഗ് ആക്രമണങ്ങളുടെ വിജയസാധ്യതയെ പൂർണ്ണമായും ഇല്ലാതാക്കുന്നു.
പാസ്‌വേഡ്‌ലെസ് ഫോൺ സൈൻ-ഇൻ ആർക്കിടെക്ചർ
യഥാർത്ഥ പാസ്‌വേഡ്‌ലെസ് ഓതന്റിക്കേഷൻ എന്നത് പാസ്‌വേഡ് ബാക്ക്‌ഗ്രൗണ്ടിൽ ഓട്ടോഫിൽ ചെയ്യുന്നതല്ല. FIDO2 സ്റ്റാൻഡേർഡിന് കീഴിലുള്ള അസിമെട്രിക് പബ്ലിക്-കീ ക്രിപ്റ്റോഗ്രാഫിയെ അടിസ്ഥാനമാക്കി, നിങ്ങളുടെ മൊബൈൽ ഉപകരണത്തെ ഹാർഡ്‌വെയർ പിന്തുണയുള്ള ഒരു സെക്യൂരിറ്റി എൻക്ലേവാക്കി മാറ്റുകയാണ് ഇത് ചെയ്യുന്നത്.
ഫോൺ സൈൻ-ഇന്നിന്റെ ക്രിപ്റ്റോഗ്രാഫിക് പ്രവർത്തനരീതി:
- എൻറോൾമെന്റ് ഘട്ടം: ഫോൺ സൈൻ-ഇൻ പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ, സ്മാർട്ട്‌ഫോണിന്റെ സുരക്ഷാ ഹാർഡ്‌വെയറിലേക്ക് (Apple Secure Enclave അല്ലെങ്കിൽ Android StrongBox/TEE) ഒരു അസിമെട്രിക് കീ ജോടി നിർമ്മിക്കാൻ നിർദ്ദേശം നൽകുന്നു. പ്രൈവറ്റ് കീ ഹാർഡ്‌വെയറിൽ സുരക്ഷിതമായി നിലനിൽക്കുന്നു; പബ്ലിക് കീ മൈക്രോസോഫ്റ്റ് ഐഡന്റിറ്റി ക്ലൗഡിൽ രജിസ്റ്റർ ചെയ്യുന്നു.
- ചലഞ്ച് കൈമാറൽ: ബ്രൗസറിൽ യൂസർനെയിം നൽകുമ്പോൾ, APNs/FCM വഴി മൈക്രോസോഫ്റ്റ് ഒരു താൽക്കാലിക ക്രിപ്റ്റോഗ്രാഫിക് ചലഞ്ച് (nonce) നിങ്ങളുടെ ഫോണിലേക്ക് അയയ്ക്കുന്നു.
- ബയോമെട്രിക് അംഗീകാരം: Face ID, Touch ID അല്ലെങ്കിൽ ഉപകരണ പിൻ ഉപയോഗിച്ച് ഉപയോക്താവ് ഐഡന്റിറ്റി സ്ഥിരീകരിക്കുന്നു. ഈ ഹാർഡ്‌വെയർ ജെസ്റ്റർ പ്രൈവറ്റ് കീയിലേക്ക് ആക്സസ് അനുവദിക്കുന്നു.
- ക്രിപ്റ്റോഗ്രാഫിക് സ്ഥിരീകരണം: പ്രൈവറ്റ് കീ സെർവർ ചലഞ്ചിൽ ഡിജിറ്റലായി ഒപ്പിടുകയും ഒപ്പ് മൈക്രോസോഫ്റ്റിലേക്ക് മടക്കി അയയ്ക്കുകയും ചെയ്യുന്നു. നേരത്തെ രജിസ്റ്റർ ചെയ്ത പബ്ലിക് കീ ഉപയോഗിച്ച് ഗേറ്റ്‌വേ ഇത് പരിശോധിച്ച് പ്രവേശനം നൽകുന്നു. നെറ്റ്‌വർക്കിലൂടെ ഒരു പാസ്‌വേഡും കൈമാറ്റം ചെയ്യപ്പെടുന്നില്ല.
- Microsoft Authenticator-ൽ നിങ്ങളുടെ അക്കൗണ്ട് ചേർത്ത് "Set up phone sign-in" പ്രവർത്തനക്ഷമമാക്കുക.
- കമ്പ്യൂട്ടറിൽ മൈക്രോസോഫ്റ്റ് സെക്യൂരിറ്റി സെറ്റിംഗ്സ് തുറക്കുക:
account.live.com/proofs/manage/additional. - "Additional security" വിഭാഗത്തിൽ Passwordless account കണ്ടെത്തി Turn on തിരഞ്ഞെടുക്കുക.
- ഫോണിൽ നമ്പർ മാച്ചിംഗ് പൂർത്തിയാക്കുക. മൈക്രോസോഫ്റ്റ് ഡാറ്റാബേസിൽ നിന്ന് നിങ്ങളുടെ പാസ്‌വേഡ് എന്നെന്നേക്കുമായി നീക്കം ചെയ്യപ്പെടും!
വ്യക്തിഗത Microsoft അക്കൗണ്ട് (MSA) vs വർക്ക്/സ്കൂൾ (Entra ID)
ഉപയോക്താക്കൾ ഒരൊറ്റ Authenticator ആപ്പിൽ ഒന്നിലധികം അക്കൗണ്ടുകൾ കൈകാര്യം ചെയ്യാറുണ്ട്. എന്നാൽ വ്യക്തിഗത അക്കൗണ്ടുകളും കോർപ്പറേറ്റ് Entra ID അക്കൗണ്ടുകളും തികച്ചും വ്യത്യസ്തമായ സുരക്ഷാ മാതൃകകളിലാണ് പ്രവർത്തിക്കുന്നത്.
| വിലയിരുത്തൽ മാനദണ്ഡം | വ്യക്തിഗത Microsoft അക്കൗണ്ട് (MSA) | വർക്ക് / സ്കൂൾ അക്കൗണ്ട് (Entra ID) |
|---|---|---|
| ഡൊമെയ്ൻ തരം | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| ഭരണ നിയന്ത്രണം | ഉപയോക്താവിന്റെ പൂർണ്ണ നിയന്ത്രണം | ടെനന്റ് ഗ്ലോബൽ അഡ്മിനിസ്ട്രേറ്റർ & Intune MDM |
| കണ്ടീഷണൽ ആക്സസ് പോളിസികൾ | സാധാരണ ഉപഭോക്തൃ റിസ്ക് പരിശോധന | ഡിവൈസ് കംപ്ലയൻസ്, അനുമതിയുള്ള IP ശ്രേണികൾ നിർബന്ധമാക്കുന്നു |
| ക്ലൗഡ് ബാക്കപ്പ് സാധ്യത | ✅ വ്യക്തിഗത ക്ലൗഡിൽ പൂർണ്ണമായി ബാക്കപ്പ് ചെയ്യുന്നു | ❌ പ്രൈവറ്റ് കീകൾ മനഃപൂർവ്വം ഒഴിവാക്കപ്പെടുന്നു |
| അടിയന്തര വീണ്ടെടുക്കൽ മാർഗ്ഗം | ദ്വിതീയ ഇമെയിൽ, SMS, 25-അക്ഷര റിക്കവറി കീ | IT ഹെൽപ്പ്‌ഡെസ്ക് ടെമ്പററി ആക്സസ് പാസ് (TAP) |
കണ്ടീഷണൽ ആക്സസും ഓതന്റിക്കേഷൻ ശേഷികളുടെ ശ്രേണിയും
Microsoft Entra ID കണ്ടീഷണൽ ആക്സസിൽ, ഓതന്റിക്കേഷൻ ശേഷികൾ (Authentication Strengths) ഉപയോഗിച്ച് അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് മൂന്ന് വ്യത്യസ്ത സുരക്ഷാ തലങ്ങൾ നിർണ്ണയിക്കാം:
മൾട്ടിഫാക്ടർ ഓതന്റിക്കേഷൻ
SMS OTP, വോയ്സ് കോളുകൾ, സാധാരണ 6-അക്ക TOTP അല്ലെങ്കിൽ പുഷ് അംഗീകാരങ്ങൾ സ്വീകരിക്കുന്നു. മിതമായ റിസ്ക് ഉള്ള സാധാരണ ആക്സസുകൾക്ക് അനുയോജ്യം.
പാസ്‌വേഡ്‌ലെസ് ഫോൺ സൈൻ-ഇൻ
Microsoft Authenticator ഫോൺ സൈൻ-ഇൻ അല്ലെങ്കിൽ Windows Hello for Business ആവശ്യപ്പെടുന്നു. ലോഗിൻ പാതയിൽ നിന്ന് ഫിഷിംഗിന് ഇരയാകുന്ന പാസ്‌വേഡുകൾ ഒഴിവാക്കുന്നു.
FIDO2 & സർട്ടിഫിക്കറ്റ് അധിഷ്ഠിതം
FIDO2 സുരക്ഷാ കീകൾ (YubiKey), CBA സ്മാർട്ട് കാർഡുകൾ എന്നിവ മാത്രം സ്വീകരിക്കുന്നു. ഗ്ലോബൽ അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് നിർബന്ധിതമായ അനുവർത്തന മാനദണ്ഡം.
പാസ്കീകൾ (FIDO2 WebAuthn) vs ഫോൺ സൈൻ-ഇൻ: ക്രിപ്റ്റോഗ്രാഫിക് വ്യത്യാസം
പഴയ "പാസ്‌വേഡ്‌ലെസ് ഫോൺ സൈൻ-ഇൻ" സംവിധാനവും പുതിയ "പാസ്കീ ഇൻ ഓതന്റിക്കേറ്ററും" തമ്മിൽ പലരും ആശയക്കുഴപ്പത്തിലാകാറുണ്ട്. രണ്ടും ഉപയോക്താവിന് ലളിതമായ ബയോമെട്രിക് ഇൻപുട്ടാണ് നൽകുന്നതെങ്കിലും, ആന്തരിക ക്രിപ്റ്റോഗ്രാഫിക് ഘടന വ്യത്യസ്തമാണ്:
- ഫോൺ സൈൻ-ഇൻ: മൈക്രോസോഫ്റ്റിന്റെ പ്രൊപ്രൈറ്ററി Azure AD Broker ആർക്കിടെക്ചറിലാണ് പ്രവർത്തിക്കുന്നത്. Authenticator ആപ്പിന്റെ റൺടൈമുമായി മാത്രം ബന്ധിപ്പിച്ച് ഉപകരണം Entra ID-ൽ ഒരു അസിമെട്രിക് കീ നിർമ്മിക്കുന്നു.
- പാസ്കീകൾ (FIDO2 WebAuthn): അന്താരാഷ്ട്ര W3C Web Authentication മാനദണ്ഡങ്ങൾ പാലിക്കുന്നു. പ്രൈവറ്റ് കീ നിർമ്മിക്കപ്പെടുന്നതും സുരക്ഷിതമായി സൂക്ഷിക്കപ്പെടുന്നതും ഉപകരണത്തിന്റെ ഹാർഡ്‌വെയറിലുള്ള Secure Enclave (Apple iOS) അല്ലെങ്കിൽ StrongBox / Keystore (Android) ഉള്ളിലാണ്. മറ്റ് വർക്ക്‌സ്റ്റേഷനുകളിൽ ലോഗിൻ ചെയ്യുമ്പോൾ എൻക്രിപ്റ്റ് ചെയ്ത QR കോഡുകളും Bluetooth Low Energy (BLE) സിഗ്നലുകളും ഉപയോഗിച്ച് സ്മാർട്ട്‌ഫോൺ കമ്പ്യൂട്ടറിന് സമീപത്തുണ്ടെന്ന് ഉറപ്പാക്കുന്നു. ഇത് റിമോട്ട് ഫിഷിംഗ് ഗണിതപരമായി അസാധ്യമാക്കുന്നു.
കണ്ടിന്യൂവസ് ആക്സസ് ഇവാലുവേഷൻ (CAE) & ടോക്കൺ മോഷണ പ്രതിരോധം:
സാധാരണ OAuth 2.0 ആക്സസ് ടോക്കണുകൾക്ക് 1 മണിക്കൂർ സാധുതയുണ്ട്. ഒരു ഹാക്കർ മാൽവെയർ വഴി സെഷൻ ടോക്കൺ മോഷ്ടിച്ചാൽ, അക്കൗണ്ട് അൺലിങ്ക് ചെയ്താലും ആ 1 മണിക്കൂർ വലിയ ഭീഷണിയാകും. ഇത് പരിഹരിക്കാൻ Microsoft Entra ID Continuous Access Evaluation (CAE) ഉപയോഗിക്കുന്നു. Entra ID-യും Microsoft 365 സേവനങ്ങളും (Exchange, Teams, SharePoint) തമ്മിലുള്ള തത്സമയ ആശയവിനിമയത്തിലൂടെ പാസ്‌വേഡ് മാറ്റം, ഉപയോക്താവിനെ ബ്ലോക്ക് ചെയ്യൽ അല്ലെങ്കിൽ IP റിസ്ക് എന്നിവ ഉണ്ടായാൽ മിനിറ്റുകൾക്കകം ആക്ടീവ് ടോക്കണുകൾ റദ്ദാക്കപ്പെടുന്നു.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM എൻഡ്‌പോയിന്റ് പരിരക്ഷ
BYOD (സ്വന്തം ഫോൺ ഉപയോഗിക്കുന്ന) ജീവനക്കാരുടെ ഫോണുകളിൽ കീലോഗറുകളോ മാൽവെയറുകളോ ഉണ്ടാകാൻ സാധ്യതയുണ്ട്. ഇതിനെതിരെ ഉപകരണത്തിൽ മുഴുവൻ നിയന്ത്രണം (MDM) അടിച്ചേൽപ്പിക്കാതെ തന്നെ Intune MAM ആപ്പ് പ്രൊട്ടക്ഷൻ പോളിസികൾ വഴി സുരക്ഷ ഉറപ്പാക്കാം:
- ബയോമെട്രിക് ലോക്ക് നിർബന്ധമാക്കൽ: ഏതെങ്കിലും കോർപ്പറേറ്റ് TOTP കോഡോ നമ്പർ മാച്ചിംഗ് പ്രോംപ്റ്റോ തുറക്കുന്നതിന് മുമ്പ് Face ID അല്ലെങ്കിൽ Biometric അൺലോക്ക് ആവശ്യപ്പെടുന്നു.
- സ്ക്രീൻ റെക്കോർഡിംഗ് തടയൽ: Authenticator ആപ്പിനുള്ളിൽ സ്ക്രീൻഷോട്ടുകളോ സ്ക്രീൻ റെക്കോർഡിംഗോ എടുക്കുന്നത് തടയുന്നു.
- റൂട്ട് & ജയിൽബ്രേക്ക് കണ്ടെത്തൽ: ഫോണിന്റെ OS പരിഷ്കരിക്കപ്പെട്ടതായി കണ്ടാൽ ഉടനടി ടോക്കണുകൾ നൽകുന്നത് നിർത്തുകയും ഫോൺ സൈൻ-ഇൻ റദ്ദാക്കുകയും ചെയ്യുന്നു.
ടെമ്പററി ആക്സസ് പാസ് (TAP): സീറോ-പാസ്‌വേഡ് ഓൺബോർഡിംഗ്
ഒരു പുതിയ ജീവനക്കാരൻ സ്ഥാപനത്തിൽ ചേരുമ്പോൾ, അല്ലെങ്കിൽ ഫോൺ നഷ്ടപ്പെടുമ്പോൾ, പാസ്‌വേഡുകൾ പൂർണ്ണമായി നിരോധിച്ചിട്ടുള്ള ഒരു സ്ഥാപനത്തിൽ അവർ എങ്ങനെ Authenticator സജ്ജീകരിക്കും? ഇതിനുള്ള പരിഹാരമാണ് ടെമ്പററി ആക്സസ് പാസ് (Temporary Access Pass - TAP):
എന്റർപ്രൈസ് TAP രജിസ്ട്രേഷൻ ഘട്ടങ്ങൾ:
- അഡ്മിനിസ്ട്രേറ്റർ TAP നൽകുന്നു: Entra അഡ്മിൻ സെന്ററിൽ നിന്ന് IT ഹെൽപ്പ്‌ഡെസ്ക് ഒരു നിശ്ചിത സമയത്തേക്ക് സാധുതയുള്ള (ഉദാ: 4 മണിക്കൂർ, ഒറ്റത്തവണ ഉപയോഗം) ഒരു താൽക്കാലിക കോഡ് നൽകുന്നു.
- സെക്യൂരിറ്റി ഇൻഫോ സന്ദർശിക്കുന്നു: ജീവനക്കാരൻ കമ്പ്യൂട്ടറിൽ
https://aka.ms/mysecurityinfoതുറക്കുന്നു. - TAP വഴി ഓതന്റിക്കേഷൻ: ഈ താൽക്കാലിക കോഡ് പ്രാരംഭ സജ്ജീകരണത്തിനായുള്ള എല്ലാ കണ്ടീഷണൽ ആക്സസ് MFA നിബന്ധനകളും നിറവേറ്റുന്നു.
- ഫോൺ കണക്റ്റ് ചെയ്യുന്നു: QR കോഡ് സ്കാൻ ചെയ്ത് ജീവനക്കാരൻ Microsoft Authenticator രജിസ്റ്റർ ചെയ്യുന്നു. അവരുടെ ജോലിക്കാലത്ത് ഒരിക്കൽ പോലും സ്ഥിരമായ ഒരു പാസ്‌വേഡ് ഉണ്ടാക്കേണ്ടി വരുന്നില്ല!
സ്റ്റാൻഡേർഡ് RFC 6238 TOTP മാനേജ്‌മെന്റ്
മൈക്രോസോഫ്റ്റ് സേവനങ്ങൾക്ക് പുറമെ, ഒരു സാർവത്രിക RFC 6238 TOTP എഞ്ചിനായും Microsoft Authenticator പ്രവർത്തിക്കുന്നു. Amazon, GitHub, Google, AWS, ക്രിപ്റ്റോ എക്സ്ചേഞ്ചുകൾ എന്നിവയുടെ ടോക്കണുകൾ ഇതിൽ സൂക്ഷിക്കാം.
മറ്റ് പ്ലാറ്റ്‌ഫോമുകൾ ചേർക്കൽ:
മുകളിൽ വലതുവശത്തുള്ള "+" ക്ലിക്ക് ചെയ്യുക -> "Other (Google, Facebook, etc.)" തിരഞ്ഞെടുക്കുക. മൂന്നാം കക്ഷി സേവനത്തിന്റെ QR കോഡ് സ്കാൻ ചെയ്യുക. ഓരോ 30 സെക്കൻഡിലും മാറുന്ന സാധാരണ HMAC-SHA1 കോഡുകൾ ആപ്പ് തയ്യാറാക്കുന്നു.
തീർച്ചയായും. മൈക്രോസോഫ്റ്റിൽ ടു-സ്റ്റെപ്പ് വെരിഫിക്കേഷൻ സജ്ജീകരിക്കുമ്പോൾ "I want to set up a different Authenticator app" തിരഞ്ഞെടുക്കുക. മൈക്രോസോഫ്റ്റ് ഒരു Base32 കീ നൽകും. ഈ കീ 2FA-Tool.com-ൽ നൽകി ബ്രൗസറിൽ 100% ഓഫ്‌ലൈനായി ടോക്കണുകൾ കണക്കാക്കാവുന്നതാണ്.
ക്ലൗഡ് ബാക്കപ്പും ഡിവൈസ് മൈഗ്രേഷനിലെ 3 പ്രധാന കെണികളും
Microsoft Authenticator ക്ലൗഡ് ബാക്കപ്പ് സൗകര്യം നൽകുന്നുണ്ടെങ്കിലും, ചില പ്രത്യേകതകൾ ഉപയോക്താക്കൾക്ക് വലിയ ബുദ്ധിമുട്ടുകൾ ഉണ്ടാക്കാം:
കെണി 1: വർക്ക്/സ്കൂൾ അക്കൗണ്ടുകളുടെ ലോഗിൻ വിവരങ്ങൾ ബാക്കപ്പിൽ ഉണ്ടാകില്ല
പുതിയ ഫോണിൽ ബാക്കപ്പ് റീസ്റ്റോർ ചെയ്യുമ്പോൾ, സാധാരണ TOTP കോഡുകളും വ്യക്തിഗത അക്കൗണ്ടുകളും റീസ്റ്റോർ ചെയ്യപ്പെടും. എന്നാൽ എല്ലാ കോർപ്പറേറ്റ് Entra ID അക്കൗണ്ടുകൾക്ക് താഴെയും ചുവന്ന ആശ്ചര്യചിഹ്നം കാണിക്കും: "Action Required - Re-authentication necessary". കോർപ്പറേറ്റ് സുരക്ഷാ നയങ്ങൾ കാരണം സ്ഥാപനത്തിന്റെ കീകൾ വ്യക്തിഗത ക്ലൗഡുകളിലേക്ക് മാറ്റാൻ അനുവദിക്കില്ല. പുതിയ ഫോൺ കമ്പ്യൂട്ടറിലെ സെഷനിൽ നിന്ന് വീണ്ടും രജിസ്റ്റർ ചെയ്യേണ്ടതാണ്!
കെണി 2: OS ഇക്കോസിസ്റ്റം വേർതിരിവ് (iOS vs. Android)
iOS-ൽ, ബാക്കപ്പുകൾ Apple iCloud Keychain-ലാണ് എൻക്രിപ്റ്റ് ചെയ്യുന്നത്. Android-ൽ, വ്യക്തിഗത Microsoft OneDrive-ലും. ഇവ പരസ്പരം പൊരുത്തപ്പെടുന്നവയല്ല. iPhone ബാക്കപ്പ് ഒരു Android ഉപകരണത്തിലേക്ക് നേരിട്ട് മാറ്റാൻ കഴിയില്ല, തിരിച്ചും സാധ്യമല്ല. പുതിയ ഫോണിലേക്ക് മാറുമ്പോൾ പഴയ ഫോണിൽ നിന്ന് മാനുവലായി വിവരങ്ങൾ മാറ്റേണ്ടതുണ്ട്.
കെണി 3: "ലോഗിൻ vs റീസ്റ്റോർ" കുരുക്ക്
പുതിയ ഫോണിൽ Authenticator ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ താഴെ ഒരു ലിങ്ക് കാണാം: "Restore from backup". അക്കൗണ്ടുകൾ ചേർക്കുന്നതിന് മുമ്പ് തന്നെ "Restore from backup" ക്ലിക്ക് ചെയ്തിരിക്കണം! ആദ്യം "Add account" ക്ലിക്ക് ചെയ്താൽ, ഐഡന്റിറ്റി സ്ഥിരീകരിക്കാൻ 2FA കോഡ് ആവശ്യപ്പെടും—ആ കോഡ് ആകട്ടെ റീസ്റ്റോർ ചെയ്യാത്ത ബാക്കപ്പിനുള്ളിൽ കുടുങ്ങിക്കിടക്കുകയുമായിരിക്കും.
ട്രബിൾഷൂട്ടിംഗ്: നോട്ടിഫിക്കേഷൻ പരാജയങ്ങളും വീണ്ടെടുക്കലും
പ്രശ്നം 1: നമ്പർ മാച്ചിംഗ് നോട്ടിഫിക്കേഷനുകൾ ഫോണിൽ എത്തുന്നില്ല
- ബാറ്ററി ഒപ്റ്റിമൈസേഷൻ (Android): ചില ആൻഡ്രോയിഡ് ഫോണുകൾ ബാക്ക്‌ഗ്രൗണ്ട് ആപ്പുകൾ നിർത്തിവെക്കും. സെറ്റിംഗ്സിൽ Microsoft Authenticator-നെ ബാറ്ററി ഒപ്റ്റിമൈസേഷനിൽ നിന്ന് ഒഴിവാക്കുക.
- Google Play Services തകരാർ: ഗൂഗിൾ സേവനങ്ങളില്ലാത്ത ഫോണുകളിൽ സാധാരണ FCM അലേർട്ടുകൾ ലഭിക്കില്ല. ആപ്പ് നേരിട്ട് തുറന്ന് റിഫ്രഷ് ചെയ്യുക.
- VPN നിയന്ത്രണങ്ങൾ: ചില കോർപ്പറേറ്റ് അല്ലെങ്കിൽ റീജിയണൽ VPN-കൾ മൈക്രോസോഫ്റ്റ് പുഷ് സെർവറുകളുമായുള്ള ബന്ധം തടസ്സപ്പെടുത്താം.
പ്രശ്നം 2: ബാക്കപ്പില്ലാതെ ഫോൺ നഷ്ടപ്പെട്ടു — കോർപ്പറേറ്റ് അക്കൗണ്ട് വീണ്ടെടുക്കൽ
വ്യക്തിഗത അക്കൗണ്ടുകൾക്ക് സെൽഫ്-സർവീസ് റിക്കവറി കീകൾ ഉള്ളപ്പോൾ, കോർപ്പറേറ്റ് Entra ID ഉപയോക്താക്കൾക്ക് കൂടുതൽ സുരക്ഷിതമായ മാർഗ്ഗമുണ്ട്:
നിങ്ങളുടെ സ്ഥാപനത്തിലെ IT ഹെൽപ്പ്‌ഡെസ്കുമായി ബന്ധപ്പെടുക. അഡ്മിനിസ്ട്രേറ്റർക്ക് Entra അഡ്മിൻ സെന്ററിൽ നിന്ന് നിങ്ങൾക്ക് 8 മണിക്കൂർ സാധുതയുള്ള ഒരു ടെമ്പററി ആക്സസ് പാസ് (TAP) നൽകാൻ കഴിയും. ഇത് ഉപയോഗിച്ച് ലോഗിൻ ചെയ്ത് പുതിയ ഫോൺ രജിസ്റ്റർ ചെയ്യാം.
പതിവായി ചോദിക്കുന്ന ചോദ്യങ്ങൾ (FAQ)
ഫോൺ എയർപ്ലെയ്ൻ മോഡിൽ ആയിരിക്കുമ്പോൾ ഫോൺ സൈൻ-ഇൻ ഉപയോഗിക്കാമോ? ▼
നമ്പർ മാച്ചിംഗ് പ്രോംപ്റ്റുകൾ ലഭിക്കാൻ ഇന്റർനെറ്റ് കണക്ഷൻ ആവശ്യമാണ്. ഫോൺ ഓഫ്ലൈൻ ആണെങ്കിൽ, ബ്രൗസർ സൈൻ-ഇൻ സ്ക്രീനിൽ "I can't use my Microsoft Authenticator app right now" തിരഞ്ഞെടുത്ത് "Use a verification code" നൽകുക. തുടർന്ന് Authenticator ആപ്പിൽ ഓഫ്‌ലൈനായി കാണിക്കുന്ന 6-അക്ക TOTP കോഡ് നൽകുക.
Google Authenticator-മായി താരതമ്യപ്പെടുത്തുമ്പോൾ Microsoft Authenticator എങ്ങനെയുണ്ട്? ▼
Microsoft 365, Azure, കോർപ്പറേറ്റ് വർക്ക്ഫ്ലോകൾ എന്നിവയ്ക്ക് നമ്പർ മാച്ചിംഗും പാസ്‌വേഡ്‌ലെസ് സവിശേഷതകളും കാരണം Microsoft Authenticator തന്നെയാണ് ഏറ്റവും മികച്ചത്. എന്നാൽ വ്യത്യസ്ത ഉപകരണങ്ങളിൽ (iOS-ൽ നിന്ന് Android-ലേക്ക്) സാധാരണ ഉപഭോക്തൃ TOTP കോഡുകൾ മാറ്റാൻ Google Authenticator കൂടുതൽ എളുപ്പമാണ്.
Microsoft Authenticator അബദ്ധത്തിൽ ഡിലീറ്റ് ചെയ്താൽ എന്ത് ചെയ്യണം? ▼
ഡിലീറ്റ് ചെയ്യുന്നതിന് മുമ്പ് ക്ലൗഡ് ബാക്കപ്പ് ഓൺ ചെയ്തിട്ടുണ്ടെങ്കിൽ, ആപ്പ് വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്ത് പ്രാരംഭ സ്ക്രീനിൽ "Restore from backup" ടാപ്പ് ചെയ്യുക. റിക്കവറി അക്കൗണ്ട് ഉപയോഗിച്ച് ലോഗിൻ ചെയ്ത് കോഡുകൾ വീണ്ടെടുക്കാം. ബാക്കപ്പ് ഇല്ലെങ്കിൽ, എമർജൻസി ഇമെയിലോ 25-അക്ഷര അക്കൗണ്ട് റിക്കവറി കീയോ ഉപയോഗിക്കേണ്ടി വരും.
യൂണിവേഴ്സൽ 2FA ടോക്കണുകൾ സുരക്ഷിതമായി നിർമ്മിക്കുക
നിങ്ങളുടെ എന്റർപ്രൈസ് ക്ലൗഡ് കൺസോളുകൾക്കും Git റിപ്പോസിറ്ററികൾക്കും RFC 6238 TOTP കോഡുകൾ വേണോ? 2FA-Tool-ന്റെ 100% ഓഫ്ലൈൻ വെബ് കാൽക്കുലേറ്റർ ഉപയോഗിക്കുക.