V globalnem ekosistemu družbe Microsoft, ki vključuje Microsoft 365, Azure, Windows Hello in več kot milijardo potrošniških računov, so gesla prepoznana kot primarni vektor ranljivosti (več kot 80 % vdorov v podjetjih izvira iz napadov s polnjenjem poverilnic ali ponovne uporabe gesel). Microsoft Authenticator se je iz preprostega odjemalca TOTP razvil v centralizirano končno točko brez gesel z arhitekturo ničelnega zaupanja (Zero Trust).
Zahteva vnos številk, prikazanih v brskalniku, v mobilno aplikacijo, s čimer nevtralizira napade s potisnimi obvestili.
Biometrična avtorizacija, povezana s ključi v strojni enklavi naprave, povsem odpravi gesla.
Poverilnice službenih/šolskih računov so zaradi skladnosti namerno izključene iz varnostnih kopij v oblaku.
Utrujenost od MFA (Push Bombing) in mandat za ujemanje številk (Number Matching)
V preteklosti je bil uporabniško najbolj prijazen mehanizem večfaktorske avtentikacije binarni potisni poziv: dohodno obvestilo s preprosto izbiro »Odobri« ali »Zavrni«. V produkcijskih okoljih pa je ta vmesnik brez trenja ustvaril kritično ranljivost: utrujenost od MFA (MFA Fatigue).
1. Anatomija vdora skupine Lapsus$ s potisnim bombardiranjem
Pri odmevnih vdorih v multinacionalke (vključno s podjetjema Uber in Okta) so napadalci pridobili veljavna gesla zaposlenih prek podatkovnih baz na temnem spletu. Za obid sekundarnega potisnega poziva so napadalci uporabili avtomatizirane skripte, ki so ob 2. uri zjutraj sprožili na desetine potisnih zahtev. V stanju zmedenosti, razdraženosti ali prekinjenega spanca so žrtve na koncu tapnile »Odobri«, samo da bi utišale svoje telefone, s čimer so napadalcu takoj predale dostop do omrežja.
2. Microsoftova globalna uveljavitev ujemanja številk
Da bi odpravil ta vektor napada, je Microsoft uveljavil funkcijo Number Matching (ujemanje številk) v vseh najemnikih Microsoft Entra ID (Azure AD) in potrošniških računih:
- Dinamični prikaz številke: Na prijavnem zaslonu v brskalniku se prikaže psevdonaključna 2-mestna številka (npr.
73). - Ročni vnos v aplikaciji: Mobilno obvestilo pozove uporabnika, da odklene napravo in vnese točno številko na interaktivni tipkovnici. Splošnega gumba »Odobri« ni več.
- Kontekstualna geolokacija in ime aplikacije: Poziv prikazuje aplikacijo, ki zahteva dostop (npr. »Microsoft Office Web«), in geografski izvor na podlagi iskanja naslova IP.
Ker oddaljeni napadalec ne vidi številke, prikazane na fizičnem zaslonu žrtve, speča žrtev pa ne more uganiti številke za vnos, ujemanje številk zmanjša stopnjo uspešnosti avtomatiziranega izkoriščanja potisnega bombardiranja na nič.
Arhitektura prijave s telefonom brez gesla (Phone Sign-In)
Pravo preverjanje pristnosti brez gesla ni le samodejno izpolnjevanje gesla v ozadju. Zanaša se na asimetrično kriptografijo javnih ključev, standardizirano pod FIDO2, ki vaš mobilni telefon spremeni v strojno podprto varnostno enklavo.
Kriptografski potek dela pri prijavi s telefonom:
- Faza vpisa: Vklop prijave s telefonom naroči varnostni strojni opremi pametnega telefona (Apple Secure Enclave ali Android StrongBox/TEE), da ustvari asimetrični par kriptografskih ključev. Zasebni ključ ostane trajno izoliran v strojni opremi; javni ključ se registrira v storitvi Microsoft Identity Cloud.
- Razpošiljanje izziva (Challenge): Ko v brskalniku vnesete uporabniško ime, Microsoft izda kratkotrajen kriptografski izziv (nonce), poslan prek storitev APNs/FCM v vašo registrirano napravo.
- Biometrična avtorizacija: Uporabnik lokalno preveri identiteto z uporabo Face ID, Touch ID ali kode PIN naprave. To strojno dejanje varni enklavi dovoli dostop do zasebnega ključa.
- Kriptografska potrditev (Assertion): Zasebni ključ podpiše strežniški izziv in vrne podpis Microsoftovemu prehodu za identiteto. Prehod preveri podpis z vnaprej registriranim javnim ključem in odobri dostop. Preko omrežja se nikoli ne prenese nobeno geslo.
- Dodajte osebni račun v aplikacijo Microsoft Authenticator in omogočite »Nastavi prijavo s telefonom«.
- V namiznem brskalniku odprite Microsoftove varnostne nastavitve:
account.live.com/proofs/manage/additional. - Pod možnostjo »Dodatna varnost« poiščite Račun brez gesla (Passwordless account) in izberite Vklopi.
- Dokončajte poziv za ujemanje številk na mobilni napravi. Vaše geslo je trajno izbrisano iz Microsoftovih zbirk podatkov o identitetah!
Osebni računi Microsoft (MSA) proti službenim/šolskim računom (Entra ID)
Uporabniki pogosto upravljajo več računov znotraj enega samega primerka aplikacije Authenticator. Upravljanje osebnih potrošniških računov ob korporativnih identitetah Entra ID vključuje različne modele zaupanja.
| Metrika ocenjevanja | Osebni račun Microsoft (MSA) | Službeni / šolski račun (Entra ID) |
|---|---|---|
| Področje identitete | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| Upravljanje in nadzor | Suverenost končnega uporabnika | Globalni skrbnik najemnika in Intune MDM |
| Pravilniki pogojnega dostopa | Standardno zaznavanje potrošniškega tveganja | Uveljavlja skladnost naprav, dovoljene obsege IP |
| Izvedljivost varnostnega kopiranja | ✅ Popolnoma varnostno kopirano v osebni oblak | ❌ Zasebni ključi so namerno izključeni |
| Vektor obnovitve po nesreči | Sekundarna e-pošta, SMS, 25-znakovni ključ za obnovitev | Začasni dostopni prehod (TAP) prek IT podpore |
Pogojni dostop in hierarhija moči avtentikacije (Authentication Strengths)
Znotraj pogojnega dostopa Microsoft Entra ID Conditional Access lahko skrbniki avtentikacijo razdelijo na tri stroge ravni z uporabo funkcije Moč avtentikacije (Authentication Strengths):
Večfaktorska avtentikacija
Sprejema SMS OTP, glasovne klice, standardni 6-mestni TOTP ali potisne odobritve. Primerno za osnovni dostop z zmerno izpostavljenostjo tveganju.
Prijava s telefonom
Zahteva prijavo s telefonom prek aplikacije Microsoft Authenticator ali Windows Hello for Business. Odpravlja gesla, dovzetna za ribarjenje.
FIDO2 in na podlagi potrdil
Sprejema izključno varnostne ključe FIDO2 (YubiKey) in pametne kartice CBA. Obvezno izhodišče za globalne skrbnike.
Digitalni ključi Passkeys (FIDO2 WebAuthn) proti prijavi s telefonom: Kriptografska ločnica
Poslovni arhitekti pogosto zamenjujejo Microsoftovo starejšo možnost »Passwordless Phone Sign-In« z na novo standardizirano možnostjo »Passkey v aplikaciji Authenticator«. Čeprav obe končnemu uporabniku predstavljata nemoten biometrični poziv, se njuna notranja kriptografska struktura bistveno razlikuje:
- Prijava s telefonom: Temelji na Microsoftovi lastniški arhitekturi Azure AD Broker. Naprava se registrira neposredno v Entra ID in ustvari asimetrični par ključev, vezan izključno na izvajalno okolje aplikacije Authenticator.
- Passkeys (FIDO2 WebAuthn): Upošteva globalno specifikacijo W3C Web Authentication. Zasebni ključ se ustvari in zaklene neposredno v strojni opremi naprave: Secure Enclave (Apple iOS) ali Hardware-backed Keystore / StrongBox (Android). Pri preverjanju pristnosti med napravami FIDO Cross-Device Authentication uporablja šifrirano komunikacijo prek kod QR v kombinaciji s signali Bluetooth Low Energy (BLE), kar zagotavlja, da je pametni telefon fizično ob zaslonu za prijavo, oddaljeno ribarjenje pa je matematično nemogoče.
Stalno ocenjevanje dostopa (CAE) in zaščita pred krajo žetonov:
Standardni žetoni za dostop OAuth 2.0 imajo privzeto veljavnost 1 uro. Če napadalec ukrade žeton aktivne seje prek zlonamerne programske opreme, onemogočitev uporabniškega računa v Active Directory običajno pusti nevarno okno ranljivosti. Microsoft Entra ID to rešuje s stalnim ocenjevanjem dostopa (Continuous Access Evaluation - CAE). Preko stalnega cevovoda dogodkov v realnem času med Entra ID in storitvami Microsoft 365 (Exchange, Teams, SharePoint) kritični dogodki – kot so preklic gesla, onemogočitev uporabnika ali porast tveganja geolokacije IP – prekličejo aktivne žetone v nekaj minutah.
Revoke-MgUserSignInSession -UserId "[email protected]"
Zaščita končnih točk z Microsoft Intune MAM (Mobile Application Management)
Pri uvajanju naprav BYOD (Bring Your Own Device) lahko osebni mobilni operacijski sistemi skrivajo zlonamerno programsko opremo, prestreznike tipkanja ali zlonamerne storitve dostopnosti. Microsoft Authenticator se integrira s pravilniki o zaščiti aplikacij Intune MAM za uveljavitev strojnega peskovnika brez vsiljivega upravljanja mobilnih naprav (MDM):
- Uveljavitev biometričnega zaklepanja: Zahteva odklepanje z Face ID / Touch ID / biometrijo Android pred dostopom do katerega koli službenega žetona TOTP ali poziva za ujemanje številk.
- Blokada zajema zaslona: Omejuje zajemanje posnetkov zaslona in snemanje videa na ravni operacijskega sistema znotraj vmesnika aplikacije Authenticator v sistemih Android in iOS.
- Zaznavanje modifikacij (Root in Jailbreak): Blokira izdajanje žetonov in nemudoma prekliče poverilnice za prijavo s telefonom, če je bila ogrožena celovitost mobilnega operacijskega sistema.
Začasni dostopni prehod (TAP): Nastavitev povsem brez gesel
Ko se organizaciji pridruži nov uslužbenec ali se izgubi pametni telefon, kako naj registrira aplikacijo Authenticator, če je organizacija prepovedala gesla? Rešitev je Začasni dostopni prehod (Temporary Access Pass - TAP):
Življenjski cikel vpisa s TAP v podjetju:
- Skrbnik izda TAP: IT služba za pomoč uporabnikom v skrbniškem središču Entra ustvari časovno omejeno, kriptografsko naključno kodo (npr. veljavno 4 ure, za enkratno uporabo).
- Uporabnik odpre varnostne podatke: Zaposleni na svoji delovni postaji odpre povezavo
https://aka.ms/mysecurityinfo. - Avtentikacija prek TAP: Vnos začasne kode izpolni vse zahteve Conditional Access MFA za začetno nastavitev.
- Seznanitev naprave: Zaposleni registrira Microsoft Authenticator prek kode QR. V celotnem obdobju zaposlitve trajno geslo sploh ne obstaja!
Standardno upravljanje RFC 6238 TOTP in storitve tretjih oseb
Poleg podpore za Microsoftove ekosisteme deluje Microsoft Authenticator kot univerzalni mehanizem za žetone RFC 6238 TOTP. Lahko shranjuje žetone za Amazon, GitHub, Google, AWS in kripto borze.
Registracija zunanjih platform:
Tapnite »+« v zgornjem desnem kotu -> izberite »Drugo (Google, Facebook itd.)«. Optično preberite kodo QR zunanje storitve. Aplikacija inicializira standardne izračune HMAC-SHA1, ki se osvežujejo vsakih 30 sekund.
Da. Pri nastavljanju preverjanja v dveh korakih v Microsoftovih varnostnih nastavitvah izberite »Želim nastaviti drugo aplikacijo za preverjanje pristnosti«. Microsoft prikaže standardni niz ključa Base32. Ta ključ lahko prilepite v 2FA-Tool.com za izračun žetonov 100 % lokalno v svojem namiznem brskalniku.
Varnostne kopije v oblaku in selitev naprav: Tri kritične pasti
Microsoft Authenticator ponuja funkcijo varnostnega kopiranja v oblak (Cloud Backup), vendar arhitekturne omejitve ustvarjajo nevarne pasti za neprevidne uporabnike:
1. past: Službeni/šolski računi se nikoli ne varnostno kopirajo s poverilnicami
Ko obnovite varnostno kopijo aplikacije Authenticator na nov telefon, se vsi žetoni TOTP tretjih oseb in osebni računi Microsoft brez težav obnovijo. Vendar pa bodo vsi službeni in šolski vnosi Entra ID prikazali rdeč klicaj: »Zahtevano je ukrepanje – potrebna je ponovna avtentikacija«. Varnostni pravilniki podjetij prepovedujejo izvoz organizacijskih ključev v osebne potrošniške oblake. Nov telefon morate ponovno registrirati iz aktivne seje podjetja na namiznem računalniku!
2. past: Ločitev ekosistemov OS (iOS proti Androidu)
V sistemu iOS Microsoft Authenticator varnostne kopije šifrira v Apple iCloud Keychain. V sistemu Android varnostne kopije šifrira v vaš osebni Microsoft OneDrive. Med tema oblakoma ni nobene interoperabilnosti. Varnostne kopije aplikacije Authenticator iz iPhona ne morete neposredno obnoviti na napravo Android in obratno. Selitev med platformama zahteva ročno optično branje kod na novo napravo, preden izbrišete staro.
3. past: Zanka »Prijava proti obnovitvi«
Ob prvem odprtju sveže namestitve aplikacije Authenticator na novem telefonu je na dnu skrita povezava: »Obnovi iz varnostne kopije«. Pred dodajanjem kakršnih koli računov morate tapniti »Obnovi iz varnostne kopije«! Če najprej tapnete »Dodaj račun«, vas aplikacija pozove k vnosu kode 2FA za potrditev vaše identitete – kode, ki je zaklenjena v neobnovljeni varnostni kopiji, kar ustvari nerešljivo zanko.
Odpravljanje težav: Izpadi potisnih obvestil in obnovitev
1. težava: Potisna obvestila za ujemanje številk ne dosežejo telefona
- Agresivna optimizacija baterije (Android): Številne preobleke operacijskega sistema Android ustavijo poslušalce v ozadju. V nastavitvah OS izvzemite Microsoft Authenticator iz optimizacije baterije.
- Izpad storitev Google Play: Naprave brez Googlovih storitev ne morejo prejemati standardnih opozoril FCM v ozadju. Aplikacijo odprite ročno, da sprožite poizvedbo.
- Omejitve usmerjanja VPN: Nekateri poslovni ali regionalni tuneli VPN prekinejo trajne vtičnice TLS do Microsoftovih potisnih končnih točk.
2. težava: Uničen telefon brez varnostne kopije – Obnovitev službenega dostopa
Medtem ko se potrošniški računi zanašajo na samopostrežne obnovitvene ključe, imajo uporabniki Entra ID v podjetjih namensko pot za obnovitev:
Obrnite se na IT podporo svoje organizacije. Skrbnik lahko v skrbniškem središču Entra pregleda vaš profil pod Metodami preverjanja pristnosti in izda 8-urni Temporary Access Pass (TAP). Ta enkratna poverilnica zaobide MFA ter vam omogoči prijavo in registracijo nadomestne strojne opreme.
Pogosta vprašanja (FAQ)
Ali lahko uporabljam prijavo s telefonom, ko je moja naprava v letalskem načinu? ▼
Pozivi za ujemanje številk zahtevajo aktivno omrežno povezavo za prejem izzivov. Če je vaš telefon brez povezave, na prijavnem zaslonu v brskalniku izberite možnost »Trenutno ne morem uporabljati aplikacije Microsoft Authenticator« in nato izberite »Uporabi kodo za preverjanje«. Odprite aplikacijo Authenticator in vnesite lokalno ustvarjeno 6-mestno kodo TOTP, ki deluje popolnoma brez povezave.
Kako se Microsoft Authenticator primerja z Google Authenticatorjem? ▼
Za okolja Microsoft 365, Azure in poslovne poteke dela je Microsoft Authenticator bistveno boljši zaradi domorodnega ujemanja številk in podpore za digitalne ključe passkeys brez gesel. Za splošno upravljanje potrošniških žetonov TOTP na različnih napravah (prehajanje med iOS in Androidom) Googlova sinhronizacija v oblaku z računom Google ponuja preprostejšo migracijo med operacijskimi sistemi.
Kaj se zgodi, če pomotoma izbrišem aplikacijo Microsoft Authenticator? ▼
Če je bilo pred izbrisom omogočeno varnostno kopiranje v oblak, znova namestite aplikacijo in na začetnem zaslonu tapnite »Obnovi iz varnostne kopije«. Prijavite se z računom za obnovitev (Microsoftov račun ali Apple ID), da pridobite žetone. Če varnostna kopija ni bila aktivna, uporabite klic v sili: sekundarni e-poštni naslov, kodo SMS ali 25-znakovni obnovitveni ključ računa.
Varno ustvarite univerzalne žetone 2FA
Potrebujete izračune RFC 6238 TOTP na strani odjemalca za svoje poslovne oblačne konzole, skladišča Git in družbena omrežja? Uporabite spletno orodje 2FA-Tool, ki deluje 100 % brez povezave in spoštuje vašo zasebnost.