Microsoft Authenticator pre prihlásenie bez hesla

 

Trend opúšťania tradičných hesiel je v ekosystéme spoločnosti Microsoft už realitou a Microsoft Authenticator sa stal kľúčom k jednoduchému a bezpečnému dosiahnutiu tohto cieľa. Ak vás už nebaví pamätať si heslá, často ich meniť alebo sa obávať únikov údajov, tento systém bez hesla je pravdepodobne to, čo ste hľadali.

Pomocou aplikácie Microsoft Authenticator sa môžete prihlásiť do svojich osobných, pracovných a školských účtov iba pomocou mobilného zariadenia a rýchleho gesta: PIN kódu, odtlačku prsta alebo rozpoznania tváre. Za týmto zdanlivo jednoduchým procesom sa skrýva pokročilý systém overovania založený na kľúčoch a prihlasovacích údajoch prepojených so zariadením, ktorý je navrhnutý tak, aby znížil riziko krádeže prihlasovacích údajov a phishingových útokov.

Čo je Microsoft Authenticator a ako funguje prihlásenie bez hesla?

Microsoft Authenticator je bezplatná mobilná aplikácia dostupná pre iOS a Android , ktorá centralizuje zabezpečený prístup k vašim účtom Microsoft a mnohým ďalším kompatibilným účtom. Nezobrazuje len kódy, ale umožňuje vám používať mobilné zariadenie ako „kľúč“ na prihlásenie do služieb bez zadávania hesla.

Režim bez hesla funguje pomocou overovania verejným kľúčom (pozrite si, ako aktivovať a používať prístupové kľúče ): vygenerujú sa poverenia a priradia sa k vášmu účtu, kryptograficky prepojenému so zariadením, na ktorom je aplikácia nainštalovaná. Tieto poverenia je možné odomknúť iba lokálnym gestom (PIN, odtlačok prsta, tvár) vďaka vlastným bezpečnostným mechanizmom operačného systému.

Tento prístup je veľmi podobný prístupu, ktorý používa Windows Hello s kľúčmi FIDO2 pre firmy, kde počítač funguje ako dôveryhodné zariadenie a používateľ sa overuje pomocou biometrických údajov alebo PIN kódu. Kľúčový rozdiel spočíva v tom, že Authenticator je možné používať prakticky kdekoľvek, nielen na počítači, pretože je určený pre mobilné zariadenia so systémom iOS a Android.

Keď používate prihlásenie bez hesla pomocou aplikácie Microsoft Authenticator, typický postup je taký, že služba zobrazí na obrazovke číslo a v telefóne vás aplikácia vyzve, aby ste klepnutím na to isté číslo potvrdili svoju identitu. Na mobilnom zariadení sa od vás nevyžaduje používateľské meno ani heslo, iba tento kód a potom vaša lokálna metóda odomknutia.

Spôsoby používania aplikácie Microsoft Authenticator

Aplikácia Microsoft Authenticator dokáže vykonávať tri rôzne funkcie v závislosti od jej konfigurácie a od toho, čo potrebujete pre jednotlivé služby, takže nie ste obmedzení na jeden režim.

Po prvé, aplikáciu môžete použiť ako zálohu, keď zabudnete heslo . V tomto prípade vám umožňuje schváliť upozornenie alebo zadať dočasný kód, ktorý vám umožní znovu získať prístup k vášmu účtu, ak si nepamätáte heslo alebo potrebujete dokázať, že ste právoplatným vlastníkom.

Druhým spôsobom použitia je dvojstupňové overenie alebo MFA ( viacfaktorové overenie ). Aj tu zadávate heslo, ale pridávate druhú vrstvu zabezpečenia s jedinečným kódom alebo push notifikáciou, ktorú musíte schváliť na svojom mobilnom zariadení, čo útočníkovi výrazne sťažuje získanie prístupu iba pomocou vášho hesla.

Tretí scenár, a ten, ktorý nás v tomto článku zaujíma, je použitie aplikácie Authenticator ako jedinej metódy prihlásenia . V tomto režime sa úplne vzdáte hesla a celý proces sa spolieha na upozornenie, ktoré dostanete na svoje mobilné zariadenie, a lokálne overenie pomocou PIN kódu alebo biometrických údajov.

Výhody zastavenia používania hesiel

Eliminácia hesiel ponúka jasné výhody pre používateľov aj organizácie . Okrem pohodlia je cieľom znížiť vektory útokov spojené s používaním statických hesiel.

Na jednej strane, ak si už nezapisujete heslá, znamená to, že už nie ste zraniteľní voči phishingovým útokom , keyloggerom alebo opätovnému použitiu uniknutých hesiel v iných službách. Ak nie je potrebné zadať heslo, nie je čo ukradnúť z falošného prihlasovacieho formulára.

Z hľadiska používateľskej skúsenosti je prístup oveľa rýchlejší a prirodzenejší : odomknete telefón obvyklým spôsobom, potvrdíte upozornenie a máte hotovo. Nemusíte si vymýšľať zložité heslá ani si pamätať absurdné variácie, len aby ste splnili požiadavky na dĺžku a zložitosť.

Firmy tiež profitujú, pretože sa znižuje počet žiadostí o podporu súvisiacich s obnovením hesla, uzamknutím účtov a problémami s overovaním. Zlepšuje sa bezpečnosť bez toho, aby sa používatelia cítili neustále obmedzovaní systémom.

Okrem toho, Microsoft Authenticator a metódy ako Windows Hello, fyzické bezpečnostné kľúče a SMS kódy poskytujú alternatívne mechanizmy pre rôzne prípady použitia. Hoci spoločnosť Microsoft a mnoho organizácií odporúčajú používať prístupové kľúče a overovanie bez hesla, stále existujú doplnkové možnosti, keď nie je možné používať mobilné zariadenie, a sú uvedené aj podrobnosti o tom, ako používať mobilné zariadenie ako overovač FIDO2.

Kompatibilita, podporované účty a používanie viacerých účtov

Aplikácia Microsoft Authenticator funguje natívne na zariadeniach so systémom iOS a Android s aktualizovanými verziami operačných systémov , aby ste mohli využívať najnovšie vylepšenia zabezpečenia. Je dôležité udržiavať telefón aj aplikáciu aktuálne s najnovšími aktualizáciami.

Pokiaľ ide o podporované účty, Authenticator môžete používať s osobným účtom Microsoft , pracovnými alebo školskými účtami Microsoft Entra ID (predtým Azure AD) a ďalšími účtami, ktoré podporujú rovnaké štandardy. To siaha od typického e-mailu v Outlooku až po organizácie používajúce Microsoft 365.

Jednou z veľkých výhod je, že si môžete nastaviť viacero účtov na tom istom zariadení a ak chcete, dokonca môžete svoj Android premeniť na bezpečnostný kľúč , čím zlepšíte overovanie v systéme Windows.

Pokiaľ ide o podporované účty, Authenticator môžete používať s osobným účtom Microsoft , pracovnými alebo školskými účtami Microsoft Entra ID (predtým Azure AD) a ďalšími účtami, ktoré podporujú rovnaké štandardy. To siaha od typického e-mailu v Outlooku až po organizácie používajúce Microsoft 365.

Pre používateľov Microsoft Entra ID, ako sú napríklad konzultanti alebo študenti pracujúci vo viacerých organizáciách, je možné do aplikácie Authenticator pridať viacero účtov od toho istého alebo rôznych nájomníkov a pre všetky z nich povoliť režim bez hesla. Hosťovské účty však nie sú podporované pre prihlásenie bez hesla cez telefón z toho istého zariadenia.

Je dôležité pamätať na to, že každé zariadenie, ktoré chcete použiť na prihlásenie bez hesla, musí byť zaregistrované u príslušného nájomníka. Napríklad, ak pracujete s contoso.com a wingtiptoys.com, to isté mobilné zariadenie bude potrebné zaregistrovať v oboch prostrediach, aby sa overili priradené kontá.

Predpoklady na používanie aplikácie Microsoft Authenticator bez hesla

Pred začatím používania režimu bez hesla je potrebné splniť niekoľko podmienok , a to tak zo strany používateľa, ako aj zo strany administrátorov organizácie.

V firemnom prostredí sa odporúča používať ako jednu z metód overovania viacfaktorové overovanie od spoločnosti Microsoft (MFA) s povolenými push notifikáciami. Tieto notifikácie pomáhajú predchádzať neoprávnenému prístupu a zastavovať potenciálne podvodné transakcie, pretože používateľ musí schváliť každý pokus o prihlásenie ( dvojstupňové overenie ).

Aplikácia Authenticator okrem správy upozornení dokáže generovať dočasné bezpečnostné kódy aj bez internetového pripojenia. Takto má používateľ, aj keď telefón nemá dáta alebo Wi-Fi, stále záložný spôsob prihlásenia, keď je vyžiadaný kód.

Ak chcete v aplikácii Microsoft Entra ID používať overovanie bez hesla, správca musí povoliť kombinované prihlasovanie (kde používateľ konfiguruje metódy zabezpečenia) a potom explicitne aktivovať metódu bez hesla pre požadované skupiny alebo používateľov.

Pre osobné kontá Microsoft je základnou požiadavkou mať nainštalovaný Microsoft Authenticator (alebo v niektorých prípadoch Outlook pre Android) na kompatibilnom zariadení a postupovať podľa pokynov na aktiváciu prihlásenia bez hesla v nastaveniach konta.

Konfigurácia aplikácie Microsoft Authenticator ako metódy prihlásenia bez hesla

V organizáciách používajúcich Microsoft Entra ID majú správcovia politiku metód overovania , ktorá definuje, ktoré metódy môžu používatelia použiť na prihlásenie: heslá, overovač, kľúče FIDO2, SMS atď. Plány nasadenia a správy nájdete v návode na integráciu Windows Hello s kľúčmi FIDO2.

V rámci tejto politiky môžete povoliť Microsoft Authenticator pre tradičné upozornenia MFA aj prihlásenie cez telefón bez hesla. Po povolení sa používateľovi zobrazí Microsoft Authenticator ako dostupná metóda v sekcii Bezpečnostné informácie vo jeho účte.

V závislosti od nastavení správcu sa v konfiguračnom rozhraní zobrazí niečo ako Microsoft Authenticator – Bez hesla alebo Microsoft Authenticator – Vloženie MFA . Používateľ môže aplikáciu zaregistrovať a vybrať si režim, ktorý najlepšie vyhovuje pravidlám jeho organizácie.

Ak chcete povoliť metódu prihlásenia bez hesla cez telefón z pohľadu správcu, musíte sa prihlásiť do centra spravovania prihlásenia Microsoft s príslušnou rolou (napríklad správca politík overovania) a prejsť do časti Prihlasovacie ID > Metódy overovania > Politiky.

Predvolene je pre každú skupinu povolené používať ľubovoľný režim vybranej metódy. V prípade aplikácie Authenticator umožňuje možnosť „ľubovoľný“ push notifikácie aj prihlásenie cez telefón bez hesla a správca môže upraviť, ktoré skupiny alebo používatelia budú zahrnutí alebo vylúčení.

Registrácia používateľa v aplikácii Authenticator

Keď je metóda v organizácii aktivovaná, je čas, aby si používatelia zaregistrovali aplikáciu do svojho účtu . Tí, ktorí už používajú Authenticator pre MFA, to majú zvyčajne jednoduchšie, pretože im stačí pridať režim bez hesla.

Používatelia, ktorí si ešte nenakonfigurovali Authenticator, sa môžu rozhodnúť pre priame telefonické prihlásenie bez nutnosti použitia hesla, za predpokladu, že majú dočasný prístupový preukaz poskytnutý správcom alebo organizáciou.

V tomto jednoduchom procese používateľ získa dočasný prístupový preukaz, nainštaluje si aplikáciu do mobilného zariadenia, v aplikácii Microsoft Authenticator vyberie možnosť „Pridať účet“ a potom možnosť „Pracovný alebo školský účet“. Potom klepne na tlačidlo „Prihlásiť sa“ a po zobrazení výzvy zadá dočasný prístupový preukaz a podľa pokynov dokončí nastavenie.

Ďalšou možnosťou je použiť sprievodcu zo stránky Bezpečnostné informácie (niekedy nazývanej Moje prihlásenia). Používateľ pristupuje na túto stránku z prehliadača, prihlási sa pomocou svojej aktuálnej metódy a vyberie možnosti „Pridať metódu“ > „Autentifikačná aplikácia“ > „Pridať“.

Asistent vás prevedie krokmi inštalácie a prepojenia aplikácie s vaším účtom: naskenujte QR kód, schváľte upozornenie a dokončite nastavenie. Po dokončení klepne používateľ na tlačidlo „Hotovo“ a účet sa zaregistruje v jeho mobilnom zariadení.

Povoliť prihlásenie bez hesla cez telefón

Po registrácii účtu v aplikácii Microsoft Authenticator zostáva ešte jeden krok: povolenie režimu bez hesla pre daný účet v samotnej mobilnej aplikácii.

Používateľ na to otvorí Microsoft Authenticator, vyberie príslušný účet a klikne na možnosť „ Nastaviť žiadosti o prihlásenie bez hesla “ alebo niečo podobné. Potom postupuje podľa pokynov na obrazovke, ktoré zvyčajne zahŕňajú schválenie testovacej žiadosti a overenie pomocou PIN kódu alebo biometrických údajov.

Po dokončení tohto procesu je daný účet pripravený na prijímanie žiadostí o prihlásenie bez hesla a používateľ si môže túto metódu v prípade potreby vybrať na prihlasovacej obrazovke spoločnosti Microsoft.

Ako sa prihlásiť bez hesla pomocou aplikácie Microsoft Authenticator

Keď je všetko nastavené, proces prihlásenia sa mierne líši od klasického pracovného postupu založeného na hesle, ale zostáva veľmi intuitívny a rýchly . Používateľ zadá svoju e-mailovú adresu alebo názov účtu do prihlasovacieho panela ako obvykle.

Po kliknutí na tlačidlo „Ďalej“ môže systém priamo zobraziť možnosť použitia aplikácie alebo možno budete musieť vybrať možnosť „ Ďalšie spôsoby prihlásenia “, aby sa zobrazili všetky dostupné alternatívy, v závislosti od nastavení a poslednej použitej metódy.

Medzi týmito možnosťami sa zobrazí možnosť „ Schváliť žiadosť v mojej aplikácii Authenticator “. Po jej výbere sa na obrazovke zobrazí náhodné číslo a v priebehu niekoľkých sekúnd vaše mobilné zariadenie dostane od aplikácie Microsoft Authenticator upozornenie s rovnakým číslom, ktoré musíte potvrdiť.

Namiesto zadávania hesla používateľ ťukne na správne číslo v aplikácii a potom ho overí lokálnou metódou odomknutia (PIN, odtlačok prsta, rozpoznávanie tváre, v závislosti od nastavení zariadenia). Ak je všetko správne, prihlásenie je dokončené.

Keď sa používateľ týmto spôsobom autentifikuje, platforma bude mať pri ďalšom overení tendenciu uprednostňovať metódu bez hesla , hoci možnosť zvoliť si inú metódu, napríklad „Použiť namiesto hesla“, je zvyčajne k dispozícii, ak ju používateľ z nejakého dôvodu uprednostňuje.

Použitie dočasných prístupových preukazov pre prvé prihlásenie

V niektorých organizáciách administrátor povolí dočasné prístupové preukazy , aby si používatelia mohli nakonfigurovať overovač a režim bez hesla bez toho, aby si museli pamätať počiatočné heslo alebo počas hromadných procesov registrácie.

V týchto prípadoch používateľ otvorí prehliadač (na svojom mobilnom zariadení alebo počítači) a prejde na stránku Bezpečnostné informácie, kde zaregistruje aplikáciu Authenticator ako svoju metódu prihlásenia pomocou dočasného prístupového kódu. Táto akcia bezpečne prepojí účet s aplikáciou.

Po spárovaní aplikácie sa používateľ vráti k svojmu mobilnému zariadeniu, otvorí aplikáciu Authenticator a povolí prihlásenie bez hesla pre daný účet. Od tohto okamihu sa môže prihlásiť pomocou telefónu bez potreby tradičného hesla.

Bezpečnosť, riziká a osvedčené postupy pri používaní aplikácie Authenticator

Autentifikácia bez hesla pomocou aplikácie Authenticator je svojou konštrukciou bezpečnejšia ako spoliehanie sa na kľúč , ktorý sa dá ukradnúť, prezradiť alebo uhádnuť. Rovnako ako každý systém má však aj tento systém svoj vlastný model hrozieb a je dôležité mu dobre porozumieť.

Jedným z najznepokojujúcejších aspektov je, že aplikácie pre iOS a Android sa spoliehajú na rovnaký PIN kód alebo metódu odomykania zariadenia . V súčasnosti neexistuje samostatný PIN kód pre danú aplikáciu. To znamená, že ak niekto uvidí váš PIN kód a ukradne vám telefón, môže aplikáciu otvoriť.

Vzhľadom na tento scenár existuje niekoľko odporúčaných opatrení: používať zložitý PIN alebo biometrické údaje , ktoré sa ťažko replikujú, aktivovať možnosti vymazania zariadenia po niekoľkých neúspešných pokusoch a predovšetkým konať rýchlo a zrušiť aplikáciu, ak stratíte telefón alebo vám ho ukradnú, a to prístupom do panela účtu z iného zariadenia.

Ďalšou logickou obavou je, že s prístupom k aplikácii by útočník mohol schváliť oznámenia o prihlásení bez vášho vedomia. Preto je dôležité sledovať oznámenia, ktoré dostávate, kontrolovať umiestnenie a aplikáciu, z ktorej sa používajú, a neprijímať požiadavky, ktoré nepoznáte.

Ak stratíte telefón alebo ho vymeníte za iný, je vhodné prejsť na hlavný panel vášho účtu Microsoft, prejsť na rozšírené možnosti zabezpečenia a odstrániť všetky metódy overovania spojené so starým zariadením, ako napríklad „Odoslať oznámenie o prihlásení“, „Aplikácia: Microsoft Outlook“ alebo Microsoft Authenticator, aby ste zabránili ich platnosti.

Správa a administrácia autentifikátorov v organizáciách

V podnikových prostrediach je najodporúčanejším spôsobom správy používania aplikácie Microsoft Authenticator prostredníctvom politiky metód overovania v nástroji Microsoft Entra ID. Táto centralizovaná politika umožňuje správcom kontrolovať, ktoré metódy sú povolené, pre ktoré skupiny a za akých podmienok.

Administrátori môžu plne povoliť alebo zakázať Authenticator , zahrnúť alebo vylúčiť konkrétnych používateľov a skupiny a tiež upraviť parametre, ktoré pridávajú kontext k požiadavkám na prihlásenie, aby používateľ nič neschvaľoval „naslepo“.

Organizácia môže napríklad nakonfigurovať každé upozornenie tak, aby zobrazovalo približnú polohu pokusu o prihlásenie alebo názov aplikácie, ktorá požaduje prístup. Používateľ si tak okamžite všimne, ak sa zobrazí neznáma krajina alebo aplikácia.

Stojí za zmienku, že stará smernica zdedila AuthenticatorAppSignInPolicy už nie sú podporované s modernými konfiguráciami overovača pre upozornenia a režim bez hesla. Namiesto toho by sa správa mala vykonávať výlučne prostredníctvom politiky metód overovania.

V scenároch s hybridnými alebo federovanými používateľmi (napríklad pri používaní služby Active Directory Federation Services) v momente, keď používateľ povolí ľubovoľnú prihlasovacie údaje bez hesla, proces prihlásenia sa už nespolieha na login_hint odoslať ho priamo poskytovateľovi federovanej identity, čo mierne mení prihlasovací proces.

Bežné problémy a známe obmedzenia

Rovnako ako každá technológia nasadená vo veľkom meradle, aj systém prihlasovania bez hesla s Authenticatorom má niektoré známe problémy a prípady, o ktorých sa oplatí vedieť vopred, aby sa predišlo prekvapeniam.

Jedným z najbežnejších scenárov je, že používateľ nevidí na prihlasovacej obrazovke možnosť prihlásiť sa telefónom bez hesla, a to ani po dokončení registrácie. Niekedy sa to stane, pretože čaká na dokončenie overovacieho procesu.

Ak chcete tento problém vyriešiť, jednoducho otvorte aplikáciu Authenticator v telefóne a odpovedzte na všetky čakajúce upozornenia. Keď to urobíte, pri ďalších pokusoch o prihlásenie by sa mala znova zobraziť možnosť používať telefón bez hesla.

V organizáciách, kde správca nakonfiguroval politiky podmieneného prístupu, sa môžu zobraziť správy ako „ Možno sa prihlasujete z umiestnenia obmedzeného správcom “ alebo vás aplikácia môže vyzvať, aby ste na dokončenie nastavenia prešli na stránku aka.ms/mfasetup. To znamená, že firemné politiky blokujú registráciu alebo používanie aplikácie Authenticator.

V týchto prípadoch s tým veľa neurobíte: budete musieť kontaktovať správcu , aby vám povolil metódu prihlásenia bez hesla cez telefón pre váš pracovný alebo školský účet alebo aby vám povedal správny postup registrácie.

Existuje aj obmedzenie týkajúce sa lokálnych používateľov alebo viacerých zariadení . Používateľ si môže vytvoriť a používať prihlasovacie údaje do telefónu bez hesla, ale ak sa pokúsi aktualizovať príliš veľa inštalácií (napríklad viac ako päť rôznych mobilných zariadení) s rovnakými prihlasovacími údajmi, operácia môže zlyhať a bude potrebné vyčistiť staré záznamy.

Pre tých, ktorí sa obávajú rizika krádeže mobilného telefónu, je potrebné pripomenúť, že aj napriek tomuto riziku sú metódy bez hesla založené na biometrii, bezpečnostných kľúčoch alebo aplikáciách ako Authenticator vo všeobecnosti robustnejšie ako klasické heslá , ktoré môžu byť hromadne odhalené alebo uhádnuté prostredníctvom automatizovaných útokov.

Vďaka kombinácii prihlasovacích údajov prepojených so zariadením , lokálnych faktorov (PIN, odtlačok prsta, tvár) a administrátorskej kontroly prostredníctvom politík Microsoft Entra ponúka ekosystém Microsoft Authenticator pomerne solídnu rovnováhu medzi pohodlím a bezpečnosťou za predpokladu, že sa uplatňujú osvedčené postupy a rýchlo sa reaguje na stratu alebo krádež zariadenia.

Prijatie prihlasovania bez hesla pomocou aplikácie Microsoft Authenticator predstavuje významný posun v myslení , ale po nakonfigurovaní a pochopení sa stáva veľmi pohodlným a bezpečným spôsobom prístupu k vašim účtom, čím sa eliminuje záťaž spojená s pamätaním si hesiel a súčasne sa znižuje plocha pre útok proti zosobneniu a neoprávnenému prístupu.