Microsoft opfordrer til at skifte fra telefonbaseret multifaktor autentifikation

10 kommentarer.  Hop til debatten
Microsoft opfordrer til at skifte fra telefonbaseret multifaktor autentifikation
Illustration: kotist/Bigstock.
Udskift den telefonbaserede multifaktor autentifikation med en sikrere løsning, lyder det i en opfordring fra Microsofts direktør for identitetssikkerhed.
12. november 2020 kl. 09:35
errorÆldre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Microsoft opfordrer brugere til at droppe telefonbaserede multi-faktor autentifikationsløsninger (MFA), hvor engangskoder bliver leveret via sms eller opkald. I stedet bør man skifte til nyere MFA-teknologier såsom app-baserede sikkerhedsløsninger eller sikkerhedsnøgler.

Det skriver ZDNet.

Opfordringen kommer fra Alex Weinert, der er direktør for identitetssikkerhed hos Microsoft. Han har i løbet af det seneste år været fortaler for, at brugere i højere grad benytter sig af MFA-løsninger, og han har tidligere meldt ud, at sikkerhedsløsningerne kan være med til at bremse omkring 99,9 procent af alle automatiserede angreb mod Microsoft-konti.

Men når det kommer til at vælge mellem de forskellige MFA-løsninger, så bør brugerne holde sig fra de telefonbaserede sikkerhedsværktøjer, præciserer Alex Weinert nu i et blogopslag.

Artiklen fortsætter efter annoncen

Opfordringen til at fravælge telefonbaseret MFA skyldes ikke, at der er noget galt med MFA-løsninger i det hele taget, men derimod er det telefonnettet, der kan være en udfordring for sikkerheden.

Det skyldes ifølge Alex Weinert, at både sms-beskeder og opkald bliver transmitteret i klartext, og derfor kan det let opfanges af angribere med bestemte værktøjer. Derudover nævner han, at sms-phishing og sim-swapping også kan udgøre en sikkerhedstrussel.

De forskellige udfordringer med telefonnettet og mobilteknologien gør, at telefonbaserede MFA-løsninger er »den mindst sikre MFA-løsning,« lyder det fra Alex Weinert.

Ifølge Alex Weinert bør man ikke fravælge MFA-autentifikation helt, men derimod bør brugerne søge mod sikrere alternativer, som bygger på app-baserede løsninger eller sikkerhedsnøgler.

10 kommentarer.  Hop til debatten
Debatten
Log ind for at deltage i debatten.
settingsDebatindstillinger
11
16. november 2020 kl. 11:45

Man kan godt bruge andre authenticators end Microsoft's ifm Microsoft MFA, men så er det svjv uden push. Dvs, man skal indtaste den 6-cifrede TOTP-kode, som app'en, fx Google's, har genereret.

10
15. november 2020 kl. 12:44

Ved omgang med Microsoft-produkter, så har jeg ikke oplevet endnu, at kunne vælge en anden OTP-app end deres egen.

Det er ikke ualmindeligt at firmaer insisterer på at man bruger deres egen authenticator app. Jeg har ikke prøvet at bruge andre en MS authenticator til MS tjenester så det skal nok passe, man kan kun bruge Google authenticator til Google tjenester, til Apple tjenster skal man bruge Apple authenticator på et Apple iOS device for at kunne lave 2FA. Der findes ikke en authenticator til Android.

9
14. november 2020 kl. 00:36

Push-beskeder kan du ligeledes få på andre opensource og mere privatlivs-sikret 2FA apps.

Ved omgang med Microsoft-produkter, så har jeg ikke oplevet endnu, at kunne vælge en anden OTP-app end deres egen.

7
12. november 2020 kl. 21:50

Microsoft Authenticator er som jeg forstår det blot en implementering af standardprotokollen for OTP.

Du kan bruge den til almindelige TOTP koder (som Google Auth), men den understøtter også en type af "push" beskeder, så der popper en besked om hvor du godkender et login på telefonen uden at skulle indtaste en kode. Samme brugeroplevelse som NemID app'en. Og den er selvfølgelig dybt forankret i Microsoft's øko-system, så de potentielt kan holde øje med hvilke systemer du logger ind i.

6
12. november 2020 kl. 17:27

Ja, her eksisterer der jo også indsamling og sammenkøring af data.</p>
<p>Så vælg 2FA med omhu til dine konti, medmindre man ønsker en ny Facebook-SMS-2faktor situtation..</p>
<p>Brug kun MS-Authenticator til netop MS produkter.

Microsoft Authenticator er som jeg forstår det blot en implementering af standardprotokollen for OTP. Hvis du ikke kan lige Microsoft Authenticator, så vælg en tilfældig anden, de er allesammen kompatible. Det bør være uproblematisk at finde en autentikator som ikke "ringer hjem".

Ret mig gerne hvis jeg tager fejl og Microsoft Authenticator ikke er kompatibel med resten af verden.

5
12. november 2020 kl. 17:12

Ja, her eksisterer der jo også indsamling og sammenkøring af data.

Så vælg 2FA med omhu til dine konti, medmindre man ønsker en ny Facebook-SMS-2faktor situtation..

Brug kun MS-Authenticator til netop MS produkter.

4
12. november 2020 kl. 15:35

Tjah, deres Authenticator-app gør det da glimrende. :)

3
12. november 2020 kl. 15:35

Ja, via Microsoft Authenticator app'en.

2
12. november 2020 kl. 15:34

Desværre er det ikke alle der overhovedet har 2-faktor autentificering.

F.eks. DK-Hostmaster - der er kun et password til at beskytte dine domæner og DNS oplysninger fra at blive nappet af andre. Jo du kan logge ind med NemID, men så vidt jeg kan se kan man ikke slå de gamle NIC-handle+password login fra.

De overvejer at indføre det ...

1
12. november 2020 kl. 15:23

Så går udfra at Google 2FA er ok. Tilbyder MS en lignende service?