SMS-es azonosítás vége a céges Microsoft-fiókokban

A Microsoft 2027. február 1-jétől kezdődően kivezeti a saját SMS-es és hanghívásos azonosítását a Microsoft Entra ID-ból, abból a rendszerből, amelyre a céges Microsoft 365-fiókok bejelentkezése is épül. Aki eddig a telefonjára küldött kóddal igazolta magát, annak ezután más módszer kell. Az SMS-es azonosítás vége a céges Microsoft-fiókokban a kisirodákat is érinti, ezért az átállást érdemes a határidő előtt elvégezni.

Mi változik az SMS-es azonosítás kivezetésével

A Microsoft a Microsoft 365 üzenetközpontjában közzétett friss közleményében ismét arra kérte a rendszergazdákat, hogy a felhasználókat állítsák át adathalászatnak ellenálló bejelentkezési módszerre. A közlemény szerint az átállást a kivezetés kezdete előtt kell befejezni, különben a felhasználók bejelentkezése megakad.

A változás lényege:

• a február 1-jén induló kivezetés után a Microsoft nem küld SMS-t (Short Message Service, rövid szöveges üzenet) és nem indít hanghívást a többtényezős hitelesítéshez (MFA, multifactor authentication);
• akinek csak ez a módszer van beállítva, az nem tudja elvégezni a többtényezős hitelesítést, így nem tud belépni a fiókjába;
• a Microsoft indoklása szerint az SMS és a hanghívás sebezhető az adathalászattal és a SIM-kártya (Subscriber Identity Module) cseréjén alapuló támadásokkal szemben;
• a kivezetés csak a munkahelyi Entra ID-környezetek bejelentkezésére vonatkozik, az Azure AD B2C és a Microsoft Entra External ID ügyfélazonosítási környezeteit nem érinti.

A Microsoft augusztusban az ingyenes Entra ID-környezetekben már megszüntette az SMS-es első lépcsős bejelentkezést, és az újonnan létrehozott környezetekben ez a lehetőség már nem érhető el.

A hozzáférési kulcs lesz az alapértelmezett

A Microsoft júliusban jelentette be, hogy szeptembertől a hozzáférési kulcs (passkey) lesz az Entra ID alapértelmezett bejelentkezési módja. Ahogy a bevezetés eléri az adott szervezetet, az SMS-es vagy hanghívásos azonosításra beállított felhasználóknál a hozzáférési kulcs automatikusan engedélyezve lesz, és a következő többtényezős hitelesítéskor a rendszer felkéri őket a regisztrálására.

A hozzáférési kulcs a felhasználó eszközén tárolt titkos kulcs, amelyet ujjlenyomattal, arcfelismeréssel vagy a készülék feloldókódjával lehet használni. Mivel csak ahhoz az oldalhoz működik, amelyhez létrehozták, egy hamis bejelentkezési oldal nem tudja megszerezni.

A hozzáférési kulcs mellett a következő módszerek közül lehet választani:

• QR-kódos hitelesítés;
• FIDO2 (Fast Identity Online) szabványú biztonsági kulcs, vagyis a géphez csatlakoztatható fizikai eszköz;
• az Entra ID által támogatott egyéb bejelentkezési módszerek.

Teendők a céges Microsoft-fiókokban az átállás előtt

1. Mérjük fel, ki használ még SMS-t vagy hanghívást. A megfelelő olvasási vagy hitelesítési rendszergazdai szerepkörrel rendelkező adminisztrátor ezt a Microsoft által kiadott Entra SMS/Voice Policy Scanner PowerShell-szkripttel tudja kilistázni.
2. Minden érintett felhasználó regisztráljon hozzáférési kulcsot vagy más támogatott módszert, még a február 1-je előtt. Érdemes legalább két módszert beállítani, hogy egy elveszett vagy lecserélt telefon ne zárja ki a felhasználót.
3. Ha a telefonos azonosítás nem nélkülözhető, akkor sincs teljes tiltás: az SMS és a hanghívás megtartható, ha a szervezet a Microsoft Security Store-on keresztül saját, külső telefonszolgáltatót állít be. Ez azonban külön beállítást és szolgáltatót igényel.

Kisirodában jellemzően nincs saját informatikus, aki a felmérést és a felhasználók átállítását elvégezné. Ilyenkor ez a külső rendszergazda feladata, aki a fiókokat és a bejelentkezési szabályokat egyébként is kezeli.

Mire figyeljünk az átállásnál

A hozzáférési kulcsot minden felhasználónak külön kell regisztrálnia, a ritkán belépő munkatársaknak is. Aki a kivezetés után próbál először belépni, és csak SMS-es vagy hanghívásos azonosítása van, nem tudja elvégezni a többtényezős hitelesítést.

Érdemes a megosztott vagy közös fiókokat is átnézni: ha egy fiókhoz csak egy telefonszám tartozik, ahhoz is új módszert kell beállítani, például a szervezet által kezelt biztonsági kulcsot. A hozzáférési kulcs és a biztonsági kulcs ráadásul nemcsak a határidő miatt jobb választás, hanem az adathalász oldalak ellen is véd.

Kép: BleepingComputer, forrás

Forrás: Microsoft urges Entra ID admins to migrate users to passkeys (BleepingComputer)