Binnen het wereldwijde ecosysteem van Microsoft — dat Microsoft 365, Azure, Windows Hello en meer dan een miljard consumentenaccounts omvat — worden wachtwoorden beschouwd als de primaire kwetsbaarheid voor datalekken (meer dan 80% van de zakelijke inbreuken ontstaat door credential stuffing of hergebruik van wachtwoorden). Microsoft Authenticator is geëvolueerd van een eenvoudige TOTP-client naar een gecentraliseerd, zero-trust wachtwoordloos eindpunt.
Vereist het invoeren van een getal dat in de browser wordt getoond in de mobiele app, waardoor push-bombing wordt geneutraliseerd.
Biometrische autorisatie gekoppeld aan hardwaresleutels in de beveiligde enclave van het apparaat maakt wachtwoorden volledig overbodig.
Inloggegevens van werk- of schoolaccounts worden conform nalevingsregels bewust uitgesloten van cloudback-ups.
MFA-moeheid (Push Bombing) & de verplichting van nummerovereenkomst
Historisch gezien was de meest gebruiksvriendelijke multifactorauthenticatie de binaire pushmelding: een binnenkomende melding met de eenvoudige keuzes "Goedkeuren" of "Weigeren". In productieomgevingen creëerde deze wrijvingsloze interface echter een ernstige kwetsbaarheid: MFA-moeheid (MFA Fatigue).
1. Anatomie van de Lapsus$ push-bombing inbreuk
Bij spraakmakende aanvallen op multinationals (waaronder Uber en Okta) bemachtigden aanvallers geldige wachtwoorden van werknemers via datalekken op het dark web. Om de pushmelding te omzeilen, zetten aanvallers geautomatiseerde scripts in die om 02:00 uur 's nachts tientallen pushverzoeken achter elkaar verstuurden. Uit verwarring, ergernis of slaapgebrek tikten slachtoffers uiteindelijk op "Goedkeuren" om hun telefoon stil te krijgen, waarmee ze de aanvaller direct toegang verleenden tot het netwerk.
2. Microsofts wereldwijde afdwinging van nummerovereenkomst (Number Matching)
Om deze aanvalsvector te elimineren, heeft Microsoft Nummerovereenkomst (Number Matching) verplicht gesteld voor alle Microsoft Entra ID (Azure AD)-tenants en consumentenaccounts:
- Dynamische getalweergave: Het loginscherm in de browser toont een willekeurig 2-cijferig getal (bijv.
73). - Handmatige invoer in de app: De mobiele melding vraagt de gebruiker om het toestel te ontgrendelen en exact dat getal in te voeren op een interactief toetsenblok. Er is geen algemene "Goedkeuren"-knop meer.
- Contextuele locatie & app-naam: De melding toont de aanvragende applicatie (bijv. "Microsoft Office Web") en de geografische locatie op basis van het IP-adres.
Omdat een externe aanvaller het getal op het fysieke beeldscherm van het slachtoffer niet kan zien, en het slapende slachtoffer het juiste getal niet kan raden, verlaagt nummerovereenkomst het slagingspercentage van geautomatiseerde push-bombing naar nul.
Architectuur van wachtwoordloze telefoonaanmelding
Echte wachtwoordloze authenticatie is niet slechts het automatisch invullen van een wachtwoord achter de schermen. Het is gebaseerd op asymmetrische cryptografie met openbare sleutels volgens de FIDO2-standaard, waardoor uw smartphone verandert in een hardwarematige beveiligingsenclave.
Cryptografische workflow van telefoonaanmelding:
- Registratiefase: Het inschakelen van telefoonaanmelding instrueert de beveiligingshardware van de smartphone (Apple Secure Enclave of Android StrongBox/TEE) om een asymmetrisch sleutelpaar te genereren. De privésleutel blijft permanent geïsoleerd in de hardware; de openbare sleutel wordt geregistreerd bij Microsoft Identity Cloud.
- Verzending van de challenge: Wanneer u uw gebruikersnaam invoert in een browser, verzendt Microsoft een tijdelijke cryptografische challenge (nonce) via APNs/FCM naar uw geregistreerde apparaat.
- Biometrische autorisatie: De gebruiker verifieert zijn identiteit lokaal via Face ID, Touch ID of de pincode van het toestel. Deze hardwarematige handeling geeft de veilige enclave toestemming om de privésleutel te gebruiken.
- Cryptografische ondertekening (Assertion): De privésleutel ondertekent de challenge van de server en stuurt de handtekening terug naar de Microsoft Identity Gateway. De gateway controleert de handtekening met de geregistreerde openbare sleutel en verleent toegang. Er wordt nooit een wachtwoord over het netwerk verzonden.
- Voeg uw persoonlijke account toe aan Microsoft Authenticator en schakel "Telefoonaanmelding instellen" in.
- Ga op uw desktop naar de Microsoft-beveiligingsinstellingen:
account.live.com/proofs/manage/additional. - Zoek onder "Extra beveiliging" naar Wachtwoordloos account en kies Inschakelen.
- Voltooi de verificatie met nummerovereenkomst op uw mobiele apparaat. Uw wachtwoord is nu permanent verwijderd uit de identiteitsdatabases van Microsoft!
Persoonlijk Microsoft-account (MSA) vs. Werk/School (Entra ID)
Gebruikers beheren vaak meerdere accounts binnen één Authenticator-app. Het combineren van persoonlijke consumentenaccounts met zakelijke Entra ID-identiteiten brengt verschillende vertrouwensmodellen met zich mee.
| Evaluatiecriterium | Persoonlijk Microsoft-account (MSA) | Werk- / Schoolaccount (Entra ID) |
|---|---|---|
| Identiteitsdomein | @outlook.com, @hotmail.com, @live.com | @bedrijf.nl, @universiteit.nl |
| Beheerderscontrole | Zeggenschap bij de eindgebruiker | Tenant Global Administrator & Intune MDM |
| Conditional Access-beleid | Standaard risicodetectie voor consumenten | Dwingt apparaatnaleving en goedgekeurde IP-reeksen af |
| Mogelijkheid tot cloudback-up | ✅ Volledig opgeslagen in persoonlijke cloudopslag | ❌ Privésleutels bewust uitgesloten |
| Noodherstelprocedure | Secundair e-mailadres, SMS, herstelcode van 25 tekens | Temporary Access Pass (TAP) via de IT-helpdesk |
Conditional Access & de hiërarchie van authenticatiesterkten
Binnen Microsoft Entra ID Conditional Access kunnen beheerders authenticatie indelen in drie strenge niveaus met behulp van Authentication Strengths (authenticatiesterkten):
Multifactorauthenticatie
Accepteert SMS-OTP, spraakoproepen, standaard 6-cijferige TOTP of pushgoedkeuringen. Geschikt voor basistoegang met een matig risico.
Wachtwoordloze telefoonaanmelding
Vereist Microsoft Authenticator telefoonaanmelding of Windows Hello for Business. Elimineert phishinggevoelige wachtwoorden uit het inlogproces.
FIDO2 & certificaatgebaseerd
Accepteert uitsluitend FIDO2-beveiligingssleutels (YubiKey) en CBA-smartcards. Verplichte nalevingsbaseline voor globale beheerders.
Passkeys (FIDO2 WebAuthn) vs. Telefoonaanmelding: de cryptografische verschillen
Enterprise-architecten verwarren Microsofts traditionele "Wachtwoordloze telefoonaanmelding" vaak met de nieuw gestandaardiseerde "Passkey in Authenticator". Hoewel beide de gebruiker een naadloze biometrische prompt tonen, verschilt de interne cryptografische werking wezenlijk:
- Telefoonaanmelding: Maakt gebruik van de bedrijfseigen Azure AD Broker-architectuur van Microsoft. Het apparaat registreert direct bij Entra ID en genereert een asymmetrisch sleutelpaar dat strikt gekoppeld is aan de Authenticator-app.
- Passkeys (FIDO2 WebAuthn): Voldoet aan de wereldwijde W3C Web Authentication-specificatie. De privésleutel wordt gegenereerd en beveiligd direct binnen de hardwarematige Secure Enclave (Apple iOS) of de Hardware-backed Keystore / StrongBox (Android). Bij authenticatie op desktops gebruikt FIDO Cross-Device Authentication versleutelde QR-handshakes in combinatie met Bluetooth Low Energy (BLE)-nabijheidssignalen. Dit garandeert dat de smartphone zich fysiek naast het beeldscherm bevindt, waardoor phishing op afstand wiskundig onmogelijk wordt.
Continuous Access Evaluation (CAE) & bescherming tegen tokendiefstal:
Standaard OAuth 2.0-toegangstokens hebben een geldigheid van 1 uur. Als een aanvaller een actief sessietoken steelt via infostealer-malware, liet het uitschakelen van het account in Active Directory voorheen een gevaarlijk tijdvenster open. Microsoft Entra ID lost dit op met Continuous Access Evaluation (CAE). Via een realtime gebeurtenissenpijplijn tussen Entra ID en Microsoft 365-diensten (Exchange, Teams, SharePoint) beëindigen kritieke gebeurtenissen — zoals het intrekken van wachtwoorden, uitschakelen van accounts of verdachte locatiewisselingen — actieve tokens binnen enkele minuten.
Revoke-MgUserSignInSession -UserId "[email protected]"
Microsoft Intune MAM (Mobile Application Management) eindpuntbeveiliging
In BYOD-omgevingen (Bring Your Own Device) kunnen persoonlijke telefoons malware, keyloggers of verdachte toegankelijkheidsservices bevatten. Microsoft Authenticator integreert met Intune MAM-app-beveiligingsbeleid om hardwarematige isolatie af te dwingen zonder dat volledige Mobile Device Management (MDM) nodig is:
- Biometrische vergrendeling verplichten: Vereist ontgrendeling via Face ID / Touch ID / Android Biometrics voordat toegang wordt verleend tot bedrijfstokens of meldingen voor nummerovereenkomst.
- Schermafbeeldingen blokkeren: Blokkeert screenshots en schermopnamen binnen de Authenticator-interface op Android en iOS.
- Jailbreak- & root-detectie: Blokkeert de uitgifte van tokens en trekt telefoonaanmeldingsgegevens direct in als de integriteit van het besturingssysteem is aangetast.
Temporary Access Pass (TAP): inrichten zonder wachtwoord
Wanneer een nieuwe medewerker in dienst treedt, of de smartphone van een werknemer kwijtraakt, hoe registreert deze dan een Authenticator-app als de organisatie wachtwoorden heeft verboden? De oplossing is de Temporary Access Pass (TAP):
Levenscyclus van enterprise TAP-registratie:
- Beheerder verstrekt TAP: De IT-helpdesk maakt een tijdgebonden, cryptografisch willekeurige toegangscode aan (bijv. 4 uur geldig, eenmalig gebruik) in het Entra-beheercentrum.
- Gebruiker opent beveiligingsgegevens: De medewerker bezoekt
https://aka.ms/mysecurityinfoop zijn werkstation. - Authenticatie via TAP: Het invoeren van de tijdelijke code voldoet aan alle Conditional Access MFA-eisen voor de initiële configuratie.
- Apparaat koppelen: De medewerker koppelt Microsoft Authenticator via de QR-code. Op geen enkel moment tijdens het dienstverband is er ooit een permanent wachtwoord aangemaakt!
Standaard RFC 6238 TOTP-beheer & externe diensten
Naast het Microsoft-ecosysteem fungeert Microsoft Authenticator ook als een universele RFC 6238 TOTP-generator. De app kan tokens opslaan voor Amazon, GitHub, Google, AWS en cryptobeurzen.
Externe platformen toevoegen:
Tik rechtsboven op "+" en kies "Overig (Google, Facebook, enz.)". Scan de QR-code van de externe dienst. De app start de standaard HMAC-SHA1-berekeningen die elke 30 seconden worden vernieuwd.
Ja. Kies bij het instellen van tweestapsverificatie in de Microsoft-beveiligingsinstellingen voor "Ik wil een andere verificatie-app gebruiken". Microsoft toont dan een standaard Base32-sleutelcode. U kunt deze sleutel invoeren op 2FA-Tool.com om tokens 100% lokaal in uw desktopbrowser te berekenen.
Cloudback-up & apparaatmigratie: drie kritieke valkuilen
Microsoft Authenticator biedt een cloudback-upfunctie, maar architectonische beperkingen kunnen voor onaangename verrassingen zorgen:
Valkuil 1: Werk- en schoolaccounts worden nooit met inloggegevens geback-upt
Wanneer u een Authenticator-back-up terugzet op een nieuwe telefoon, worden alle externe TOTP-tokens en persoonlijke Microsoft-accounts naadloos hersteld. Bij alle zakelijke en schoolaccounts van Entra ID verschijnt echter een rood uitroepteken: "Actie vereist - opnieuw verifiëren vereist". Zakelijk beveiligingsbeleid verbiedt het exporteren van bedrijfssleutels naar persoonlijke consumentenclouds. U moet de nieuwe telefoon opnieuw koppelen vanuit een actieve zakelijke desktopsessie!
Valkuil 2: De scheiding tussen ecosystemen (iOS vs. Android)
Op iOS versleutelt Microsoft Authenticator back-ups in Apple iCloud Sleutelhanger. Op Android worden back-ups versleuteld opgeslagen in uw persoonlijke Microsoft OneDrive. Er is geen enkele uitwisseling mogelijk tussen deze twee clouds. U kunt een iPhone Authenticator-back-up niet rechtstreeks herstellen op een Android-toestel, en vice versa. Migraties tussen verschillende besturingssystemen vereisen dat u codes handmatig scant op het nieuwe apparaat voordat u het oude wist.
Valkuil 3: De "Aanmelden vs. Herstellen"-impasse
Wanneer u een nieuwe installatie van Authenticator opent op een nieuw toestel, staat er onderaan een subtiele link: "Herstellen vanaf back-up". U moet eerst op "Herstellen vanaf back-up" tikken voordat u accounts toevoegt! Als u eerst op "Account toevoegen" tikt, vraagt de app om een 2FA-code om uw identiteit te verifiëren — een code die nog opgesloten zit in de niet-herstelde back-up, waardoor een onoplosbare blokkade ontstaat.
Probleemoplossing: meldingsproblemen & storingsherstel
Probleem 1: Pushmeldingen voor nummerovereenkomst komen niet aan op de telefoon
- Agressieve batterijbesparing (Android): Veel Android-fabrikanten sluiten achtergrondprocessen af. Sluit Microsoft Authenticator uit van batterijoptimalisatie in de instellingen.
- Uitval van Google Play Services: Toestellen zonder Google-diensten ontvangen geen standaard FCM-achtergrondmeldingen. Open de app handmatig om synchronisatie te forceren.
- Beperkingen door VPN-tunnels: Bepaalde zakelijke of regionale VPN's blokkeren de permanente TLS-verbindingen met Microsoft-pushservers.
Probleem 2: Telefoon kapot zonder back-up — zakelijke toegang herstellen
Terwijl consumentenaccounts vertrouwen op noodherstelcodes, hebben zakelijke Entra ID-gebruikers een speciale herstelprocedure:
Neem contact op met de IT-helpdesk van uw organisatie. Een beheerder kan in het Entra-beheercentrum naar uw profiel gaan onder Authenticatiemethoden en een Temporary Access Pass (TAP) van bijvoorbeeld 8 uur uitgeven. Deze eenmalige toegangscode omzeilt de MFA-vereiste, zodat u kunt inloggen en uw vervangende apparaat kunt registreren.
Veelgestelde vragen (FAQ)
Kan ik telefoonaanmelding gebruiken terwijl mijn toestel in vliegtuigmodus staat? ▼
Meldingen voor nummerovereenkomst hebben een actieve netwerkverbinding nodig om de challenge te ontvangen. Als uw telefoon offline is, kiest u op het loginscherm "Ik kan mijn Microsoft Authenticator-app op dit moment niet gebruiken" en vervolgens "Een verificatiecode gebruiken". Open uw Authenticator-app en voer de lokaal gegenereerde 6-cijferige TOTP-code in, die volledig offline werkt.
Hoe verhoudt Microsoft Authenticator zich tot Google Authenticator? ▼
Voor Microsoft 365, Azure en zakelijke bedrijfsomgevingen is Microsoft Authenticator veruit superieur dankzij ingebouwde nummerovereenkomst en wachtwoordloze passkey-ondersteuning. Voor algemeen TOTP-beheer tussen verschillende apparaten (zoals de overstap van iOS naar Android) biedt de uniforme Google-account cloudback-up van Google Authenticator een eenvoudigere migratie tussen besturingssystemen.
Wat gebeurt er als ik per ongeluk de Microsoft Authenticator-app verwijder? ▼
Als Cloudback-up vóór de verwijdering was ingeschakeld, installeert u de app opnieuw en tikt u op "Herstellen vanaf back-up" op het beginscherm. Meld u aan met het herstel-Microsoft-account (of Apple ID) om uw tokens op te halen. Was back-up niet ingeschakeld, gebruik dan uw noodherstel-e-mail, SMS-code of 25-cijferige herstelsleutel om opnieuw toegang te krijgen.
Genereer universele 2FA-tokens veilig
Heeft u client-side RFC 6238 TOTP-berekeningen nodig voor uw cloudconsoles, Git-repositories en online accounts? Gebruik de 100% offline, privacygerichte webtool van 2FA-Tool.