Microsoft opfordrer til at skifte fra telefonbaseret multifaktor autentifikation

Illustration: leowolfert/Bigstock
Udskift den telefonbaserede multifaktor autentifikation med en sikrere løsning, lyder det i en opfordring fra Microsofts direktør for identitetssikkerhed.

Microsoft opfordrer brugere til at droppe telefonbaserede multi-faktor autentifikationsløsninger (MFA), hvor engangskoder bliver leveret via sms eller opkald. I stedet bør man skifte til nyere MFA-teknologier såsom app-baserede sikkerhedsløsninger eller sikkerhedsnøgler.

Det skriver ZDNet.

Opfordringen kommer fra Alex Weinert, der er direktør for identitetssikkerhed hos Microsoft. Han har i løbet af det seneste år været fortaler for, at brugere i højere grad benytter sig af MFA-løsninger, og han har tidligere meldt ud, at sikkerhedsløsningerne kan være med til at bremse omkring 99,9 procent af alle automatiserede angreb mod Microsoft-konti.

Men når det kommer til at vælge mellem de forskellige MFA-løsninger, så bør brugerne holde sig fra de telefonbaserede sikkerhedsværktøjer, præciserer Alex Weinert nu i et blogopslag.

Opfordringen til at fravælge telefonbaseret MFA skyldes ikke, at der er noget galt med MFA-løsninger i det hele taget, men derimod er det telefonnettet, der kan være en udfordring for sikkerheden.

Det skyldes ifølge Alex Weinert, at både sms-beskeder og opkald bliver transmitteret i klartext, og derfor kan det let opfanges af angribere med bestemte værktøjer. Derudover nævner han, at sms-phishing og sim-swapping også kan udgøre en sikkerhedstrussel.

Læs også: Et år og fire stikprøver senere: Nu er sim swapping-hullerne lukket

De forskellige udfordringer med telefonnettet og mobilteknologien gør, at telefonbaserede MFA-løsninger er »den mindst sikre MFA-løsning,« lyder det fra Alex Weinert.

Ifølge Alex Weinert bør man ikke fravælge MFA-autentifikation helt, men derimod bør brugerne søge mod sikrere alternativer, som bygger på app-baserede løsninger eller sikkerhedsnøgler.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (10)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#2 Henrik Juul Størner

Desværre er det ikke alle der overhovedet har 2-faktor autentificering.

F.eks. DK-Hostmaster - der er kun et password til at beskytte dine domæner og DNS oplysninger fra at blive nappet af andre. Jo du kan logge ind med NemID, men så vidt jeg kan se kan man ikke slå de gamle NIC-handle+password login fra.

De overvejer at indføre det ...

  • 0
  • 0
#6 Benny Amorsen

Ja, her eksisterer der jo også indsamling og sammenkøring af data.

Så vælg 2FA med omhu til dine konti, medmindre man ønsker en ny Facebook-SMS-2faktor situtation..

Brug kun MS-Authenticator til netop MS produkter.

Microsoft Authenticator er som jeg forstår det blot en implementering af standardprotokollen for OTP. Hvis du ikke kan lige Microsoft Authenticator, så vælg en tilfældig anden, de er allesammen kompatible. Det bør være uproblematisk at finde en autentikator som ikke "ringer hjem".

Ret mig gerne hvis jeg tager fejl og Microsoft Authenticator ikke er kompatibel med resten af verden.

  • 1
  • 0
#7 Henrik Juul Størner

Microsoft Authenticator er som jeg forstår det blot en implementering af standardprotokollen for OTP.

Du kan bruge den til almindelige TOTP koder (som Google Auth), men den understøtter også en type af "push" beskeder, så der popper en besked om hvor du godkender et login på telefonen uden at skulle indtaste en kode. Samme brugeroplevelse som NemID app'en. Og den er selvfølgelig dybt forankret i Microsoft's øko-system, så de potentielt kan holde øje med hvilke systemer du logger ind i.

  • 0
  • 0
#10 Jakob Dahl

Ved omgang med Microsoft-produkter, så har jeg ikke oplevet endnu, at kunne vælge en anden OTP-app end deres egen.

Det er ikke ualmindeligt at firmaer insisterer på at man bruger deres egen authenticator app. Jeg har ikke prøvet at bruge andre en MS authenticator til MS tjenester så det skal nok passe, man kan kun bruge Google authenticator til Google tjenester, til Apple tjenster skal man bruge Apple authenticator på et Apple iOS device for at kunne lave 2FA. Der findes ikke en authenticator til Android.

  • 0
  • 0
Log ind eller Opret konto for at kommentere