شرکت مایکروسافت از مدیران Entra ID خواست تا پیش از تاریخ ۱ فوریه ۲۰۲۷، متدهای احراز هویت مبتنی بر پیامک (SMS) و تماس صوتی (Voice) را به Passkeys مهاجرت دهند. این اقدام با هدف کاهش ریسک حملات فیشینگ (Phishing) و جلوگیری از اختلال در روند ورود کاربران به حساب‌های کاربری صورت می‌گیرد.
جزئیات بازنشستگی متدهای قدیمی
این هشدار که در مرکز پیام‌های مایکروسافت (Message Center) تحت کد MC1528000 منتشر شده، شامل محیط‌های Worldwide و Government Community Cloud می‌شود. مایکروسافت تأکید کرده است که مدیران سیستم نباید منتظر فعال شدن این تغییر در Tenant خود بمانند و باید از همین حالا آماده‌سازی کاربران متأثر را آغاز کنند.
بر اساس این اطلاعیه، کاربرانی که متدهای جایگزین برای ورود دارند، بدون مشکل از همان روش‌ها استفاده خواهند کرد و نیازی به ثبت Passkey ندارند. اما کاربرانی که تنها از SMS یا Voice برای احراز هویت استفاده می‌کنند، در آخرین تلاش برای تأیید هویت خود، ملزم به ثبت یک Passkey خواهند بود تا دسترسی آن‌ها به حساب‌هایشان قطع نشود.
چرا Passkey جایگزین SMS می‌شود؟
احراز هویت از طریق SMS و Voice در برابر حملات فیشینگ و SIM-swap بسیار آسیب‌پذیر هستند. مهاجمان می‌توانند کاربران را برای به اشتراک گذاشتن کدهای تأیید فریب دهند یا با تصاحب شماره تلفن کاربر، کنترل حساب را در دست بگیرند. در مقابل، Passkeyها از رمزنگاری کلید عمومی (Public-key Cryptography) بر اساس استانداردهای FIDO استفاده می‌کنند.
- کلید خصوصی (Private Key): در دستگاه احراز هویت کاربر باقی می‌ماند.
- کلید عمومی (Public Key): توسط سرویس (مایکروسافت) ذخیره می‌شود.
- تأیید هویت: کاربر با استفاده از PIN یا بیومتریک (Biometric)، درخواست را امضا می‌کند.
این مکانیزم باعث می‌شود اعتبارنامه تنها برای وب‌سایت یا اپلیکیشنی که برای آن ایجاد شده باشد کار کند و از سرقت اطلاعات توسط صفحات جعلی (Fake Login Pages) جلوگیری شود.
توصیه‌های اجرایی برای مدیران SOC و IT
مدیران سیستم باید مراحل زیر را برای انتقال امن اجرا کنند:
- شناسایی کاربرانی که صرفاً به SMS یا Voice وابسته هستند.
- اولویت‌بندی حساب‌هایی که هیچ متد جایگزینی ندارند.
- آموزش کاربران برای پذیرش Passkey یا سایر گزینه‌های پشتیبانی شده.
- اطلاع‌رسانی به تیم‌های Helpdesk در مورد ضرب‌الاجل و فرآیند ثبت‌نام.
لازم به ذکر است سازمان‌هایی که نیاز دارند همچنان از احراز هویت تلفنی استفاده کنند، می‌توانند از طریق Microsoft Security Store، یک ارائه‌دهنده مخابراتی مدیریت‌شده توسط مشتری (Customer-managed telecom provider) را پیکربندی کنند.
