В усій екосистемі Microsoft, що охоплює Microsoft 365, Azure, Windows Hello та понад мільярд споживчих облікових записів, паролі визнано головним джерелом вразливостей (понад 80% корпоративних зламів відбуваються через викрадення облікових даних або повторне використання паролів). Додаток Microsoft Authenticator еволюціонував із простого клієнта TOTP у централізований безпарольний кінцевий вузол моделі Zero Trust.
Вимагає введення числа з екрана браузера в мобільний додаток, повністю нівелюючи спам-атаки push-запитами.
Біометричне підтвердження в поєднанні з апаратними ключами чіпа безпеки усуває потребу в паролях.
Ключі робочих та навчальних акаунтів навмисно виключені з особистих хмарних копій заради комплаєнсу.
Атаки втоми MFA (Push Bombing) та обов'язкове зіставлення чисел
Історично найпростішим для користувача варіантом багатофакторної автентифікації було звичайне push-сповіщення з двома кнопками: «Схвалити» або «Відхилити». Проте в корпоративних середовищах ця простота породила серйозний вектор зламу: MFA Fatigue (перевтома від запитів).
1. Анатомія атак Push-Bombing на прикладі групи Lapsus$
Під час резонансних атак на міжнародні корпорації (включно з Uber та Okta) нападники здобували паролі співробітників зі злитих баз даних. Щоб обійти другий фактор, зловмисники запускали автоматизовані скрипти, які надсилали десятки push-запитів о другій годині ночі. Через розгубленість, роздратування чи бажання припинити вібрацію смартфона жертви зрештою натискали кнопку «Схвалити», миттєво віддаючи доступ до корпоративної мережі ворогові.
2. Глобальне впровадження Microsoft функції зіставлення чисел (Number Matching)
Щоб назавжди закрити цю вразливість, Microsoft зробила функцію Number Matching обов'язковою для всіх клієнтів Microsoft Entra ID (Azure AD) та персональних акаунтів:
- Динамічне відображення числа: На екрані браузера генерується псевдовипадкове 2-значне число (наприклад,
73). - Ручне введення в додатку: Мобільне сповіщення пропонує розблокувати телефон та ввести це точне число за допомогою інтерактивної клавіатури. Простої кнопки «Схвалити» більше не існує.
- Контекстна інформація: У запиті чітко показується назва програми (наприклад, «Microsoft 365 Portal») та приблизне географічне розташування за IP-адресою.
Оскільки віддалений нападник не бачить числа на фізичному моніторі жертви, а сонний користувач не знає, яку цифру потрібно ввести, зіставлення чисел зводить успішність автоматизованих атак Push Bombing до абсолютного нуля.
Архітектура безпарольного входу за допомогою смартфона
Справжня безпарольна автентифікація — це не просто автозаповнення пароля з пам'яті. Вона базується на асиметричній криптографії відкритого ключа за стандартом FIDO2, що перетворює смартфон на апаратний модуль безпеки.
Криптографічний алгоритм входу через телефон (Phone Sign-In):
- Етап реєстрації: Ввімкнення входу за телефоном дає команду апаратному чіпу смартфона (Apple Secure Enclave або Android StrongBox/TEE) згенерувати асиметричну пару ключів. Приватний ключ надійно запечатується в апаратному сховищі, а відкритий ключ передається до хмари Microsoft Identity.
- Генерація криптографічного виклику: Коли користувач вводить логін у браузері, Microsoft формує одноразовий випадковий виклик (nonce), який надходить на пристрій через сервіси APNs/FCM.
- Біометрична авторизація: Користувач підтверджує особу локально через Face ID, Touch ID або PIN-код блокування екрана. Цей жест дозволяє чіпу безпеки отримати доступ до закритого ключа.
- Криптографічний підпис: Приватний ключ підписує отриманий виклик сервера та надсилає криптографічний підпис назад до шлюзу Microsoft. Шлюз перевіряє підпис збереженим відкритим ключем та надає доступ. Пароль ніколи не створюється і не передається мережею.
- Додайте особистий акаунт до Microsoft Authenticator та увімкніть функцію «Налаштувати вхід за телефоном».
- На комп'ютері перейдіть у налаштування безпеки:
account.live.com/proofs/manage/additional. - У розділі «Додаткова безпека» знайдіть пункт Безпарольний обліковий запис та натисніть Увімкнути.
- Підтвердьте запит зіставлення чисел на телефоні. Пароль буде повністю стерто з баз даних Microsoft!
Особисті акаунти Microsoft (MSA) проти корпоративних (Entra ID)
Користувачі часто зберігають кілька профілів в одному додатку. Проте взаємодія з особистими записами та корпоративними ідентифікаторами Entra ID суттєво різниться за рівнем контролю та довіри.
| Критерій порівняння | Особистий акаунт (MSA) | Корпоративний / Навчальний (Entra ID) |
|---|---|---|
| Домен ідентифікації | @outlook.com, @hotmail.com, @live.com | @company.com, @university.edu |
| Адміністративний контроль | Повний контроль користувача | Глобальний адміністратор та Intune MDM |
| Політики умовного доступу | Базовий аналіз ризиків | Контроль відповідності пристрою та довірених IP |
| Резервна копія в хмару | ✅ Повне збереження в особистому сховищі | ❌ Приватні ключі свідомо заблоковані |
| Спосіб відновлення доступу | Додаткова пошта, SMS, 25-значний ключ | Тимчасовий код Temporary Access Pass (TAP) від IT-відділу |
Ієрархія умовного доступу та рівнів автентифікації
У межах політик Conditional Access у Microsoft Entra ID адміністратори можуть налаштовувати сувору трирівневу градацію за допомогою Authentication Strengths:
Багатофакторна перевірка
Приймає коди з SMS, голосові дзвінки, стандартні 6-значні коди TOTP або push-схвалення. Підходить для базового доступу з низьким рівнем ризику.
Вхід за телефоном
Вимагає входу через Microsoft Authenticator або Windows Hello для бізнесу. Повністю виключає паролі з процесу авторизації.
FIDO2 та сертифікати
Приймає виключно апаратні ключі безпеки FIDO2 (YubiKey) та смарт-карти CBA. Обов'язковий стандарт для глобальних адміністраторів.
Passkey (FIDO2 WebAuthn) проти входу за телефоном: криптографічна різниця
Корпоративні інженери нерідко плутають класичний «Phone Sign-In» від Microsoft із сучасним стандартом «Passkey в Authenticator». Хоча для співробітника обидва виглядають як біометричний запит на телефоні, їхня криптографічна база суттєво відрізняється:
- Phone Sign-In: Спирається на пропрієтарну архітектуру Azure AD Broker. Телефон реєструється безпосередньо в Entra ID, генеруючи ключі всередині оточення додатка.
- Passkey (FIDO2 WebAuthn): Суворо відповідає загальносвітовому стандарту W3C. Закритий ключ генерується безпосередньо в апаратному чіпі Secure Enclave (Apple iOS) або StrongBox (Android). Під час входу з комп'ютера автентифікація FIDO2 Cross-Device використовує зашифрований обмін QR-кодом та канали Bluetooth Low Energy (BLE), гарантуючи фізичну присутність смартфона поруч із монітором і унеможливлюючи віддалений фішинг.
Неперервна оцінка доступу (CAE) та захист від крадіжки токенів:
Звичайні токени доступу OAuth 2.0 діють 1 годину. Якщо шкідливе ПЗ викрадає активний токен сесії, блокування користувача в системі залишало вікно для дій зловмисника. Технологія Continuous Access Evaluation (CAE) від Microsoft Entra ID підтримує прямий зв'язок у реальному часі між каталогом і службами Microsoft 365 (Exchange, Teams, SharePoint), миттєво відкликаючи всі активні токени при зміні пароля чи зміні географічної локації.
Revoke-MgUserSignInSession -UserId "[email protected]"
Temporary Access Pass (TAP): Безпарольний старт роботи
Коли новий співробітник виходить на роботу або втрачає свій пристрій, як йому підключити Authenticator, якщо в компанії повністю заборонені паролі? Для цього використовується Temporary Access Pass (TAP):
Життєвий цикл реєстрації через TAP:
- Випуск тимчасового коду: Служба підтримки генерує обмежений у часі (наприклад, на 4 години) одноразовий випадковий код TAP у консолі Entra.
- Перехід на сторінку налаштувань: Співробітник відкриває портал безпеки
https://aka.ms/mysecurityinfoна робочому комп'ютері. - Вхід за допомогою TAP: Введений код автоматично задовольняє всі вимоги MFA для початкової реєстрації.
- Прив'язка пристрою: Користувач сканує QR-код додатком Microsoft Authenticator. Протягом усього терміну роботи постійного пароля взагалі не існує!
Управління стандартними кодами TOTP RFC 6238
Крім сервісів Microsoft, цей додаток працює як універсальний генератор TOTP за стандартом RFC 6238. Він підходить для збереження ключів Amazon, GitHub, Google, AWS та криптобірж.
Додавання сторонніх акаунтів:
Натисніть значок «+» у верхньому кутку -> оберіть пункт «Інший (Google, Facebook тощо)». Відскануйте QR-код стороннього сервісу. Додаток автоматично розпочне обчислення стандартних 6-значних кодів HMAC-SHA1 з інтервалом оновлення 30 секунд.
Так. Під час налаштування двоетапної перевірки в обліковому записі Microsoft виберіть посилання «Я хочу використовувати інший додаток автентифікації». Microsoft відобразить стандартний текстовий ключ Base32. Вставте цей ключ на сайті 2FA-Tool.com, щоб обчислювати коди на 100% локально у своєму браузері.
Хмарна резервна копія та міграція: три критичні пастки
У Microsoft Authenticator передбачено функцію хмарного резервного копіювання, проте через архітектурні обмеження користувачі часто потрапляють у глухий кут:
Пастка 1: Ключі робочих акаунтів не переносяться у хмару
Після відновлення резервної копії на новому пристрої особисті акаунти та сторонні TOTP відновляться без проблем. Проте всі корпоративні та навчальні записи Entra ID отримають червоний знак оклику: «Потрібна дія — необхідна повторна автентифікація». Корпоративна безпека забороняє вивантаження робочих сертифікатів у споживчі хмари. Вам обов'язково доведеться повторно прив'язати телефон через активну робочу сесію на комп'ютері!
Пастка 2: Повна несумісність між iOS та Android
На iPhone додаток зберігає резервну копію у зв'язці ключів Apple iCloud Keychain. На Android резервна копія шифрується та завантажується у ваш особистий Microsoft OneDrive. Між цими екосистемами немає прямого зв'язку. Неможливо відновити резервну копію з iPhone на Android і навпаки. При зміні платформи необхідно вручну перенести ключі на новий пристрій до видалення даних зі старого.
Пастка 3: Замкнене коло «Вхід проти відновлення»
Після встановлення додатка на новий телефон унизу стартового екрана є посилання: «Відновити з резервної копії». Необхідно натиснути саме це посилання до додавання будь-яких акаунтів! Якщо ви спершу натиснете «Додати акаунт», додаток вимагатиме код 2FA для підтвердження входу — той самий код, який надійно замкнений усередині ще не відновленої резервної копії.
Усунення несправностей: відсутність сповіщень та відновлення
Проблема 1: Сповіщення зіставлення чисел не надходять на смартфон
- Агресивна оптимізація батареї (Android): Системи керування живленням вимикають фонові процеси. Вимкніть оптимізацію заряду для Microsoft Authenticator у параметрах системи.
- Збої сервісів Google Play: Смартфони без офіційних сервісів Google не можуть приймати фонові сповіщення FCM. Відкрийте додаток вручну для примусової перевірки запитів.
- Обмеження маршрутизації через VPN: Окремі корпоративні VPN-тунелі блокують постійні з'єднання TLS до серверів сповіщень Microsoft.
Проблема 2: Телефон пошкоджено без копії — відновлення корпоративного доступу
Якщо для особистих акаунтів потрібні аварійні ключі відновлення, то для користувачів корпоративного Entra ID передбачено офіційний регламент:
Зверніться до внутрішньої служби IT-підтримки компанії. Адміністратор відкриє ваш профіль у консолі Entra та згенерує одноразовий Temporary Access Pass (TAP) терміном на 8 годин. Цей пароль дозволить увійти в систему без MFA та зареєструвати новий смартфон.
Поширені запитання (FAQ)
Чи можна використовувати вхід за телефоном у режимі польоту? ▼
Сповіщення зіставлення чисел потребують активного підключення до інтернету. Якщо смартфон офлайн, виберіть у браузері посилання «Зараз я не можу використовувати Microsoft Authenticator», потім натисніть «Використати код перевірки». Відкрийте додаток та введіть 6-значний локальний код TOTP, який генерується повністю автономно.
Чим Microsoft Authenticator відрізняється від Google Authenticator? ▼
Для роботи з Microsoft 365, Azure та корпоративними системами додаток від Microsoft значно перевершує конкурентів завдяки підтримці зіставлення чисел та безпарольних ключів passkey. Для звичайного побутового використання та простого перенесення між iOS і Android додаток від Google має перевагу завдяки єдиній синхронізації через Google-акаунт.
Що робити у разі випадкового видалення додатка Microsoft Authenticator? ▼
Якщо до видалення було активовано хмарне копіювання, встановіть додаток заново та натисніть «Відновити з резервної копії» на початковому екрані. Пройдіть авторизацію у хмарі для завантаження токенів. Якщо копіювання було вимкнено, скористайтеся резервним e-mail, SMS або 25-значним майстер-кодом відновлення.
Безпечна генерація токенів 2FA
Потрібні швидкі розрахунки кодів TOTP RFC 6238 для хмарних консолей, Git-репозиторіїв та робочих сервісів? Скористайтеся повністю конфіденційним веб-інструментом 2FA-Tool без передачі даних на сторонні сервери.