Microsoft vytáhl do boje proti phishingu s bezheslovým ověřováním pro Azure AD

Jednou z nejvýznamnějších událostí letošního roku v oblasti bezpečnosti byly snahy o odklon od tradičních hesel řízené aliancí FIDO. Technologické společnosti, jako jsou Microsoft, Google a Apple se zavázaly k vývoji řešení pro ověřování bez hesla.

A nezůstalo jen u slibů. Společnost Microsoft právě spustila bezheslové ověřování založené na certifikátu (CBA) pro Azure AD na zařízeních se systémy iOS a Android prostřednictvím hardwarového bezpečnostního klíče YubiKey od společnosti Yubico. Nové řešení poskytne uživatelům systémů Android a iOS přihlašovací řešení odolné proti phishingu s certifikací FIPS (Federal Information Processing Standards).

Vzhledem k tomu, že phishingových útoků stále přibývá, poslouží toto rozšíření k větší odolnosti ekosystému Microsoft proti sociálnímu inženýrství a krádežím pověření. Tento systém bude chránit zejména uživatele v hybridních pracovních prostředích, kteří se k Azure AD připojují pomocí zařízení se systémy iOS a Android.

Boj proti phishingovým útokům v hybridních pracovních prostředích

Toto oznámení přichází necelý měsíc poté, co Microsoft oznámil vydání tří nových řešení odolných proti phishingu, která mají organizacím pomoci předcházet útokům v prostředích Azure, Office 365 a vzdálené plochy.

Vzhledem k tomu, že tyto hrozby jsou tak časté, je nyní snížení závislosti na zabezpečení založeném na heslech pro zmírnění rizika zcela zásadní, zejména v hybridních pracovních prostředích.

Jak funguje ověřování Microsoft/YubiKey

Nové přihlašovací řešení Microsoft/YubiKey umožňuje uživatelům poskytovat certifikáty s hardwarovým bezpečnostním klíčem, aby se mohli ověřovat na zařízeních se systémy iOS a Android.

Uživatelé iOS se mohou zaregistrovat prostřednictvím aplikace Yubico Authenticator pro iOS a zkopírovat veřejný certifikát YubiKey do klíčenky iOS. Poté mohou uživatelé vybrat certifikát YubiKey z nabídky certifikátů pro přihlášení a zadat jedinečný PIN prostřednictvím autentizátoru YubiKey.

V systému Android lze povolit podporu Azure AD CBA prostřednictvím nejnovějšího MSAL, aniž by bylo nutné mít aplikaci YubiKey Authenticator. YubiKey lze připojit přes USB, kde si uživatel může vybrat certifikát a zadat PIN, aby se ověřil pro přístup k aplikaci.

Tento přístup snižuje pravděpodobnost krádeže pověření v důsledku phishingu nebo sociálního inženýrství.

Ekosystém ověřování bez hesla

Vzhledem k tomu, že hrozba krádeže pověření je stále vysoká, globální trh s bezheslovým ověřováním kontinuálně roste. Výzkumníci předpokládají, že se zvýší z hodnoty 12,79 miliardy dolarů v roce 2021 na 53,64 miliardy dolarů v roce 2030.

Od vyhlášení závazku aliance FIDO na začátku letošního roku začala řada poskytovatelů inovovat vlastní řešení autentizace bez hesla. Nedávno společnost Google zavedla bezheslové ověřování v prohlížečích Chrome a Android. Uživatelé mohou přístupové klíče uložit do svých telefonů a používat je k přihlašování bez hesla.

Stejně tak Apple nabízí řešení Passkey pro zařízení s iOS 16 a macOS Ventura, takže se uživatelé mohou přihlašovat do aplikací a na webové stránky pomocí Face ID nebo Touch ID.

Podle oznámení na blogu společnosti Yubico je však „YubiKey jediným řešením odolným proti phishingu s certifikací FIPS, které je k dispozici pro Azure AD na mobilních zařízeních“.

Zdroj: Venturebeat