Kuidas kasutada oma mobiiltelefoni FIDO2 autentijana Windowsi seansside jaoks

Kui oled tüdinud võitlemast võimatud paroolid, SMS-kinnitus ja koodid, mis aeguvad 30 sekundi pärastMobiiltelefoni kasutamine FIDO2 autentijana Windowsi ja ettevõtte rakendustesse sisselogimiseks muudab sõna otseses mõttes mängu. Idee on lihtne: teie telefonist saab teie turvavõti ja peate selle isiku tõestamiseks avama vaid sõrmejälje, näotuvastuse või PIN-koodiga.

Viimastel aastatel on hiiglased nagu Microsoft, Google, Apple ja paljud turvafirmad investeerinud FIDO2 ja pääsukoodid paroolide tegelike asendajatenaSee tehnoloogia pole enam eksperimentaalne: see töötab Windows 10/11-s. Android, iOSmacOS, ChromeOS ja enamik populaarseid brausereid. Ja mis meid siin huvitab, see võimaldab teil kasutada oma mobiilseadet FIDO2 autentijana nii pilveressurssidele juurdepääsuks kui ka teie organisatsiooni hallatavate Windowsi seansside jaoks.

Mis on FIDO2, pääsukoodid ja miks saab teie mobiiltelefon olla autentija?

Kui me räägime mobiiltelefoni kasutamisest Windowsi autentijana, siis me tegelikult räägime sellest, kasutage FIDO2 standardeid ja paroole (juurdepääsuvõtmeid)FIDO tähistab Fast Identity Online'i, ettevõtete liitu, mis on aastaid kavandanud autentimisviise ilma nõrkade ja taaskasutatud paroolideta.

FIDO2 on kaasaegne standard, mis ühendab kaks põhikomponenti: WebAuthn (W3C-st, brauseri osast ja apps) y CTAP2 (protokoll, mis suhtleb autentijaga, näiteks teie telefoni või füüsilise võtmega)Koos võimaldavad need võrguteenusel paluda teil autentida oma mobiiltelefoni, Windows Hello, FIDO2 USB/NFC-võtme vms abil, selle asemel, et sundida teid veel ühte parooli meeles pidama.

Selle mudeli puhul saab teie mobiiltelefon toimida kui platvormideülene FIDO autentijaSee salvestab turvaliselt teie privaatvõtme ja saab allkirjastada Windowsi, Microsoft Entra ID, Google'i või muude teenuste saadetud päringuid. Telefoni avate tavapärase meetodiga (sõrmejälg, näotuvastus, PIN-kood) ja seade tegeleb krüptograafilise osaga teie eest.

Kapoti all kasutab FIDO2 avaliku võtme krüptograafiaIga kord, kui registreerite konkreetse teenuse pääsukoodi, genereeritakse võtmepaar: privaatvõti salvestatakse autentija mällu (teie mobiiltelefon, arvuti, füüsiline võti) ja ei lahku sealt kunagi; avalik võti saadetakse teenusele ja seostatakse teie kontoga. Uuesti sisse logides esitab server päringu, mille autentija allkirjastab privaatvõtmega, ja server kontrollib seda allkirja avaliku võtmega.

Praktiline tulemus on see, et Pole paroole, mida filtreerida, ühekordseid koode, mida pealt kuulata, ega jagatud saladusi, mida serverilt varastada.Kui keegi üritab sind õngitseda, isegi kui ta suunab sind võltsitud veebisaidile, ei kehti krüptograafiline väljakutse sinu tegeliku avaliku võtme jaoks, seega rünnak laguneb iseenesest.

FIDO2 autentimisvahendite tüübid ja mobiilseadmete roll

FIDO2 ökosüsteemis eristatakse kahte peamist tüüpi autentijaid: platvorm ja mitmeplatvormilineSelle erinevuse mõistmine aitab teil näha, kuhu mobiil sobib Windowsi seansside kontekstis.

Platvormi autentija on selline, mis See on seadmesse endasse integreeritud.Näiteks Windows Hello sülearvutil, millel on ühilduv sõrmejäljelugeja või kaamera, Touch ID MacBookil või sõrmejäljesensor tänapäevasel sülearvutil. Seda saab kasutada ainult samast arvutist, kuhu see on installitud, ja seda ei saa teise seadmesse üle kanda.

Mitmeplatvormilised autentijad on need, mis Saate seda kasutada mitmest erinevast seadmest.Siin tulevadki mängu FIDO2 turvavõtmed (YubiKey, SoloKey, Nitrokey, üldised NFC/USB võtmed) ja, mis meie teema jaoks väga oluline, Androidi ja iOS-i mobiiltelefonid, mida kasutatakse teiste seadmete väliste autentijatena.

Sõltuvalt seadetest võib teie mobiiltelefon käituda kahel viisil: platvormi autentija (kui kasutate pääsukoodi otse mobiilibrauseris/rakenduses) või platvormideülene autentija (kui mobiiltelefoni kasutatakse QR-koodi ja Bluetoothi ​​abil teise seadmesse, näiteks Windowsi arvutisse, sisselogimiseks).

Lisaks mobiiltelefonidele ja füüsilistele võtmetele on ka teisi tarkvaralisi autentimisvahendeid ja riistvara ühilduvad, nagu Windows Hello, Touch ID, Face ID, spetsiaalsed mobiilsed autentijad ja rakendused nagu Hideez Authenticator mis laiendavad valikuvõimalusi segatud ärikeskkondades, kus kaasaegsed FIDO2 rakendused eksisteerivad koos paroolidel põhinevate pärandsüsteemidega.

FIDO2 ühilduvus Windowsis, brauserites ja teenustes

Selleks, et mobiilseade toimiks Windowsi seanssides FIDO2 autentijana, on oluline, et Täielik FIDO2/WebAuthni tugi: operatsioonisüsteem, brauser või rakendus ja identiteediteenusÕnneks on praegune toetus väga ulatuslik.

Operatsioonisüsteemi poolelt Windows 10 (versioon 1903 ja uuemad) ja Windows 11 Need toetavad natiivselt FIDO2 autentimist, eriti kui seade on ühendatud Microsoft Entra ID-ga (endine Azure AD) või hübriiddomeeniga. Windows Hello toimib platvormi autentijana ning süsteem töötab ka FIDO2 USB/NFC-võtmete ja mobiilsete autentijate abil.

Mis puutub brauseritesse, Chrome, Edge, Firefox ja Safari Nad on lisanud WebAuthni toe mitmele versioonile nii lauaarvutites kui ka mobiilis. See võimaldab sellistel teenustel nagu Microsoft Entra, Google, Bitwarden ja muudel paroolihalduritel ning SSO pakkujatel algatada FIDO2 autentimisvoo otse brauserist.

Teenuse tasandil toetab või võtab kasutusele peaaegu kogu tänapäeval oluline ökosüsteem paroolid: Microsoft Entra ID, Google'i kontod, Google Workspace, ettevõtte SSO pakkujad, paroolihaldurid nagu Bitwarden ja identiteediplatvormid nagu Hideez Cloud IdentityIgaüks neist integreerib FIDO2 veidi erinevalt, kuid põhiidee on sama: teie autentija (mobiiltelefon, võti või Windows Hello) allkirjastab väljakutseid paroolide sisestamise asemel.

Lisaks ärikeskkonnas, Microsoft Entra ID võimaldab teil hallata FIDO2-d ametliku autentimismeetodinaSee hõlmab konkreetsete poliitikate kasutamist selle lubamiseks, konkreetsete AAGUID-ide (võtmemudelite või autentijate) piiramist ja selle rakendamist tingimusliku juurdepääsu tingimuste korral. See on oluline tundlike ressursside kaitsmiseks ja andmepüügikindla MFA rakendamiseks.

Logige sisse Microsofti FIDO2 pääsukoodidega. Logige sisse oma mobiilseadme abil.

Esimene praktiline stsenaarium mobiiltelefoni kasutamiseks Windowsi FIDO2 autentijana hõlmab tavaliselt järgmist: Microsoft Entra IDkuna paljud ettevõtte Windows 10/11 seansid on lingitud Entraga ja kasutavad seda identiteeti selliste ressursside jaoks nagu Office, Teams, SharePoint ja sisemised rakendused.

Entra toetab kasutajatele kolme peamist FIDO2 paroolimudelit: Sisselogimisseadmesse salvestatud juurdepääsuvõtmed, teise seadmesse (nt teie mobiiltelefoni) salvestatud võtmed ja füüsilisele turvavõtmele salvestatud võtmed.Kõiki neid mudeleid saab sama organisatsiooni sees kombineerida.

Kui parool on salvestatud samasse seadmesse (näiteks Windowsi sülearvutisse, kus on Windows Hello, või mobiiltelefoni, kus on Microsoft Authenticator ja parool), on toiming väga lihtne: Navigeerid ressursi (kontor, ettevõtte portaal jne) juurde ja valid autentimisvõimaluse näo, sõrmejälje, PIN-koodi või turvavõtme abil.Süsteem avab turvaakna ja palub teil end konfigureeritud meetodi abil tuvastada.

Kui parool asub teises seadmes, näiteks mobiiltelefonis, hõlmab protsess järgmist: seadmetevaheline autentimineNäiteks Windows 11 23H2 või uuemas versioonis pakutakse teile turvavõtmega sisselogimisel võimalust valida väline seade, näiteks „iPhone”. iPad „Või Android-seadmes.” Arvuti kuvab QR-koodi, mille saate oma mobiiltelefoni kaameraga skannida; seejärel küsib telefon teie biomeetrilisi andmeid või PIN-koodi ning viib Bluetoothi ​​ja interneti abil lõpule autentimise kaugarvutis.

Mõlemal juhul autentitakse teid pärast voo lõppu Microsoft Entra IDmis omakorda võimaldab teil juurde pääseda oma pilverakendustele ja hästi integreeritud keskkondades ka Windowsi seanssidele või töölauarakendustele, mis sellest identiteedist sõltuvad.

Microsoft Authenticatori spetsiifiline kasutamine paroolidega Androidis ja iOS-is

Üks mugavamaid viise mobiiltelefoni kasutamiseks FIDO2 autentijana Microsofti keskkondades on läbi Microsoft Authenticator koos juurdepääsuvõtme toegaSee rakendus saab toimida FIDO2 autentijana nii samas seadmes (kohalik autentimine) kui ka seadmete vahel (Windowsi arvutisse või teise arvutisse sisselogimiseks).

iOS-is saate Microsofti sisselogimiseks kasutada platvormi autentijana rakendust Authenticator. Sisestage oma ID väljale omaette brauser iPhone või iPad ja Microsofti natiivsetes rakendustes nagu OneDrive, SharePoint või Outlook. Süsteem kuvab teile valiku „Nägu, sõrmejälg, PIN-kood või turvavõti” ja kui selle valite, küsitakse teilt Face ID-d, Touch ID-d või seadme PIN-koodi.

IOS-i seadmete vaheliseks autentimiseks on klassikaline protsess järgmine: Teises arvutis (näiteks Windows 11 masinas) minge Microsofti sisselogimislehele. Logige sisse, valige muud sisselogimismeetodid, valige turvavõtme autentimine ja valige iPhone/iPad/Android-seade.Sel hetkel kuvatakse arvuti ekraanil QR-kood.

Oma iPhone'iga avate süsteemikaamera rakendus (mitte Authenticatori sisseehitatud kaamerat, kuna see ei mõista WebAuthni QR-koodi) ja suunake see koodile. iPhone pakub valikut „Logi sisse pääsukoodiga” ja pärast teie isiku tuvastamist Face ID, Touch ID või PIN-koodi abil viib telefon arvutiga Bluetoothi ​​ja internetiühenduse kaudu lõpule FIDO2 autentimise.

Androidis on käitumine sarnane, kuigi mõningate nüanssidega. Sama seadme autentimiseks brauseris on vaja Android 14 või uuem Authenticatori kasutamiseks telefonis pääsukoodi salvestusruumina minge veebisaidile Minu turvainfo, valige sisselogimisvalikud ja seejärel näotuvastus, sõrmejälg, PIN-kood või turvavõti. Kui teil on mitu salvestatud pääsukoodi, palub süsteem teil valida, millist neist soovite kasutada.

Androidi seadmete vaheliseks autentimiseks järgite arvutis sama mustrit: Mine sisestusklahvile, vali turvavõti ja seejärel Android-seadeKaugseadmes kuvatakse QR-kood, mille saate skannida süsteemi kaameraga või Authenticatori rakendusest endast, sisestades juurdepääsuvõtme konto ja kasutades parooli üksikasjades nähtavat QR-koodi skannimise nuppu.

Kõigis neis olukordades on oluline omada Bluetooth ja internetiühendus on mõlemas seadmes aktiivsedKui organisatsioonil on piiravad Bluetoothi ​​poliitikad, võib administraator olla sunnitud konfigureerima erandid, et lubada sidumist ainult FIDO2 parooliga autentijatega.

Muud FIDO2 kasutusjuhud: Google, Bitwarden ja ettevõtte SSO

Lisaks Microsoftile ja Windowsile sobib mobiiltelefoni FIDO2 autentijana kasutamise kontseptsioon ideaalselt Google'i pääsukoodid, FIDO2 paroolihaldurid ja ettevõtte SSO-lahendusedKõik kokku teeb teie mobiiltelefonist teie digitaalse identiteedi tuuma.

Google'is saate luua oma isikliku või Workspace'i konto jaoks juurdepääsuvõtmeid ja neid kasutada el avamise meetod mobiiliekraan (sõrmejälg, näotuvastus, PIN-kood) peamise tegurina. Kui pääsukood on teie Android-telefonis või iPhone'is seadistatud, saate oma Google'i kontole arvutis sisse logida, kasutades voogu „Proovige teist võimalust” / „Kasutage oma juurdepääsukoodi” ja skannides arvuti brauseris kuvatavat QR-koodi.

Kogemus on sarnane: arvuti kuvab QR-koodi, skannite selle telefoni kaamera või sisseehitatud skanneriga ja telefon palub teil see avada. Pärast biomeetria või PIN-koodi kontrollimist Mobiiltelefon allkirjastab FIDO2 väljakutse ja arvuti saab juurdepääsu teie kontole.Pärast seda võib Google soovitada teie arvutis kohaliku pääsukoodi loomist, kuid see on valikuline.

Bitwarden omalt poolt lubab lubada kaheastmeline sisselogimine FIDO2 WebAuthniga oma rakendustes. Saate registreerida FIDO2-sertifitseeritud füüsilisi turvavõtmeid, aga kasutada ka natiivseid autentimisvahendeid, näiteks Windows Hello või Touch ID. Mobiilseadmetes on NFC-toega võtmeid (näiteks YubiKey NFC) võimalik kasutada, viies need telefoni lugemisala lähedale; mõnikord peate hoolikalt "sihtima", kuna NFC-lugeri asukoht varieerub olenevalt mudelist.

Ärikeskkonnas platvormid nagu Hideez Cloudi identiteet Nad ühendavad sünkroniseeritud FIDO2 pääsukoodid (need, mis teil võivad olla Google'is või iCloudis) oma mobiilsete autentimisvahenditega, mis põhinevad dünaamilistel QR-koodidel. Tüüpiline töövoog on järgmine: arvutisse sisselogimiseks avage oma telefonis rakendus, skannige arvutiekraanil kuvatavat QR-koodi ja autoriseerige sisselogimine oma mobiilseadmest, mis toimib turvalise autentimisvahendina.

See lähenemisviis on eriti kasulik siis, kui teil on segu FIDO2-ga ühilduvad kaasaegsed rakendused ja pärandsüsteemid, mis endiselt sõltuvad kasutajanimest ja paroolistMõned riistvaravõtmed ja identiteedilahendused lubavad sama võtit isegi uute teenuste FIDO2 autentijana kasutada ja paroolihaldur krüptimine pärandrakenduste jaoks.

FIDO2/paroolide lubamine organisatsioonides Microsofti sisselogimise abil

Kui teie eesmärk on võimaldada kasutajatel kasutada oma mobiilseadet FIDO2 autentijana Windowsi seanssides ja ettevõtte rakendustes, hõlmab edasine tee järgmist: FIDO2 meetodi ametlik aktiveerimine Microsoft Entra ID-s ja määratlege, millised autentimistüübid on lubatud.

Microsoft Entra administreerimiskeskuses saab autentimispoliitika administraator minna valikusse Entra ID → Autentimismeetodid → Poliitikad ja leida meetodi „turvavõti (FIDO2)Seal saate selle lubada globaalselt või kindlate turbegruppide jaoks, konfigureerida, kas iseteeninduslik registreerimine on lubatud, ja otsustada, kas seadme kinnitamine on vajalik.

Tõestamise valik lubab aktsepteerida ainult järgmist: FIDO2 võtmed ja autentijad seaduslikelt pakkujateltKuna iga tootja avaldab AAGUID-i (autentimistunnistuse GUID), mis identifitseerib kaubamärgi ja mudeli, saab rakendada "võtmepiirangu poliitikat", et autoriseerida ainult teatud AAGUID-id ja blokeerida ülejäänud. See on väga kasulik, kui soovite kontrollitud võtmete kogumit või ettevõtte mobiilseid autentimisseadmeid.

Täiustatud stsenaariumide korral pakub Microsoft Microsoft Graph API FIDO2 haldamiseksAuthenticationMethodsPolicy FIDO2 konfiguratsiooni lõpp-punkti kaudu saate automatiseerida mandaatide loomist, valideerida konkreetseid AAGUID-sid või isegi pakkuda FIDO2 turvavõtmeid kasutajate nimel (eelvaateversioon), kasutades Entra tagastatud CTAP-i ja creationOptionsi.

Kui FIDO2 meetod on õigesti konfigureeritud, saate luua pääsukoodil põhineva autentimise tugevusi ja kasutage neid tingimusliku juurdepääsu poliitikates. Näiteks saate seadistada reegli, mis nõuab kriitilistele rakendustele või kaugtöölaua seanssidele juurdepääsuks autentimist FIDO2 juurdepääsuvõtmetega (ja valikuliselt piirata seda ühe või mitme mobiilse autentimise AAGUID-ga või kindla võtmega).

Samuti arvestatakse hooldusstsenaariumidega: Kasutaja paroolide kustutamine halduskeskusestUPN-i muudatused (sel juhul peab kasutaja kustutama oma vana FIDO2-võtme ja registreerima uue) ja piirangud, näiteks praegune toe puudumine B2B külaliskasutajatele FIDO2-mandaatide registreerimiseks otse ressursirentnikus.

FIDO2 turvavõtmete konfigureerimine ja kasutamine mobiiltelefoniga

Kuigi käesoleva teksti keskmes on mobiiltelefon autentijana, on paljudes keskkondades mõistlik seda kombineerida FIDO2 füüsilised turvavõtmederiti administraatoritele, kriitilise juurdepääsuga töötajatele või kasutajatele, kes vajavad töökindlat teist meetodit.

Seadistamine algab tavaliselt konto turvalisuse portaalidest, näiteks https://aka.ms/mfasetup või Microsofti lehtedel „Minu turvainfo”. Seal valite „Turvavõti” ja saate määrata, kas see on USB või NFC abil ning järgite viisardit, mis oleneb operatsioonisüsteemist ja võtme tüübist. Lõpuks määratakse võtmele nimi edaspidiseks tuvastamiseks.

Pärast registreerimist saab võtit kasutada alates toetatud brauserid (Edge, Chrome, Firefox) või isegi sisselogimiseks organisatsiooni pakutavatesse ja konfigureeritud Windows 10/11 arvutitesse. Lisaks pakuvad sellised süsteemid nagu RSA spetsiifilisi utiliite (RSA Security Key Utility) võtme PIN-koodi haldamiseks, muutmiseks, seadme lähtestamiseks ja selle integreerimiseks ettevõtte autentimistoodetega (nt SecurID).

FIDO2 kontekstis on riistvaravõtmed lihtsalt teist tüüpi platvormideülene autentimisvahend. Teie mobiilseade saab neid samaaegselt kasutada. Mobiilseadmes saab kasutada sünkroonitud paroole, kriitiliseks kasutuseks füüsilisi võtmeid ja tööarvutites platvormi autentimisvahendeid, näiteks Windows Hello.Mida kindlamad ja paremini hallatud meetodid teil on, seda vähem sõltute nõrkadest paroolidest.

Igal juhul, olenemata sellest, kas kasutate füüsilisi või mobiilseid võtmeid, on soovitatav, et administraator määratleks selged eeskirjad autentijate lisamiseks, eemaldamiseks ja asendamisekssamuti protseduurid seadme kaotamise või varguse korral (seotud pääsukoodi tühistamine, hiljutiste juurdepääsude ülevaatamine, mitme autentimise (MFA) sundseadistamine järgmisel sisselogimisel jne).

FIDO2 kasutamise tegelikud eelised ja piirangud mobiiltelefoniga

Selge paranemine nii turvalisuses kui ka kasutatavuses Mobiiltelefoni kasutamisel FIDO2 autentijana Windowsi seansside ja nendega seotud teenuste jaoks on siiski ka puudusi ja nüansse, mida tuleks teada.

Peamine eelis on see Autentimine muutub andmepüügi ja volituste varguse rünnakute suhtes vastupidavaksKuna privaatvõti ei lahku kunagi telefonist ja seda kasutatakse ainult krüptograafiliste väljakutsete allkirjastamiseks, ei saa ründaja teie parooli "varastada", kuna seda lihtsalt pole olemas. Isegi kui teenus satub rikkumisse, saavad avalikud võtmed, mis on ilma füüsilise autentijata kasutud.

Teine oluline eelis on kasutajakogemus: Telefoni sõrmejälje või näotuvastusega avamine on palju kiirem ja loomulikum. kui pikkade paroolide kirjutamine, ühekordsete paroolide haldamine SMS-i teel või turvaküsimustele vastuste meeldejätmine. Paljudel juhtudel välistab see ka vajaduse traditsioonilise MFA teise kihi järele, kuna FIDO2 ise vastab tugeva ja andmepüügikindla MFA nõuetele.

Regulatiivsel tasandil aitab FIDO2 kasutuselevõtt organisatsioonidel vastavusse viima selliste regulatsioonidega nagu GDPR, HIPAA, PSD2 või NIS2Ja arvestades NISTi või CISA suuniseid, mis soovitavad andmepüügikindlat MFA-d, pole juhus, et valitsused ja suurettevõtted pöörduvad nullusalduse strateegiate raames FIDO-lahenduste poole.

Piirangute poolelt on üks selgemaid probleeme see, et tehnoloogiline pärandPaljud rakendused, pärand-VPN-id, teatud kaugtöölauad või sisemised süsteemid ei toeta FIDO2 ega tänapäevast SSO-d. Nende jaoks vajate endiselt traditsioonilisi paroole või autentimisvahendeid, kuigi saate osa juurdepääsust katta kaasaegse IdP-ga, mis edastab FIDO2 väljapoole.

Lisaks on paljudes teenustes endiselt Parool ei kao täielikult äraSeda hoitakse sageli taastamismehhanismina juhuks, kui kaotate kõik oma pääsukoodid, mis tähendab, et kui seda korralikult ei hallata, on endiselt olemas vähem turvaline "plaan B". Tööstusharu liigub mudelite poole, kus saab loota ainult pääsukoodidele, kuid praegu näete paroole endiselt kõikjal.

Teine oluline nüanss on erinevus Sünkroniseeritud pääsukoodid ja seadmega lingitud pääsukoodidEsimesed kopeeritakse pilveteenuste (nt iCloud Keychain või Google Password Manager) kaudu, mis parandab mugavust, kuid raskendab ettevõtte kontrolli; viimased jäävad seotuks ühe riistvaraga (ettevõtte mobiiltelefon, füüsiline võti), mis annab IT-le suurema kontrolli kasutaja mugavuse arvelt.

Paljude kasutajate ja ettevõtete jaoks on mobiilseadme kasutamine FIDO2 autentijana Windowsi seansside ja pilveressurssidele juurdepääsu jaoks väga mõistlik viis liitu paroolivaba autentimise vagunigaSee ühendab avaliku võtme krüptograafia turvalisuse juba kaasasoleva telefoni avamise mugavusega, integreerub Windows 10/11, Microsoft Entra, Google'i ja teiste kaasaegsete teenustega ning võimaldab teil elada füüsiliste võtmete ja vananenud süsteemidega, samal ajal kui liigute maailma, kus paroolid muutuvad üha vähem oluliseks.