شرکت مایکروسافت اعلام کرده است که قابلیت ورود با استفاده از پیامک (SMS) به عنوان عامل اول احراز هویت (First-Factor Sign-in) را برای تمامی Tenantهای سازمانی در سرویس Microsoft Entra ID بازنشسته می‌کند. سازمان‌ها باید تا پیش از اول فوریه ۲۰۲۷، کاربران متأثر را به روش‌های امن‌تر مهاجرت دهند.
چرا SMS دیگر امن نیست؟
این تغییر استراتژیک به دلیل آسیب‌پذیری‌های شناخته شده در روش‌های مبتنی بر تلفن اتخاذ شده است. مایکروسافت هشدار می‌دهد که کدهای SMS در برابر حملات زیر آسیب‌پذیر هستند:
- Phishing: صفحات جعلی می‌توانند کد را دریافت و بلافاصله برای مهاجم ارسال کنند.
- SIM-swapping: جابجایی سیم‌کارت برای تصاحب شماره تلفن کاربر.
- Social Engineering: متقاعد کردن کاربر یا اپراتور برای دسترسی به کد.
- Interception: شنود پیامک‌ها در لایه‌های شبکه مخابراتی.
جایگزین‌های پیشنهادی و مقاوم در برابر فیشینگ
مایکروسافت توصیه می‌کند سازمان‌ها به سمت روش‌های Phishing-resistant حرکت کنند. جایگزین‌های کلیدی عبارتند از:
- Passkeys: استفاده از استانداردهای FIDO و رمزنگاری کلید عمومی که وابسته به منشأ (Origin-bound) است.
- Windows Hello for Business: احراز هویت بیومتریک و سخت‌افزاری.
- FIDO2 Security Keys: استفاده از توکن‌های سخت‌افزاری امن.
- QR Code Authentication: جایگزینی مناسب برای کارکنان خط مقدم (Frontline Workers) و محیط‌های با دستگاه‌های مشترک.
نقشه راه برای مدیران SOC و امنیت
با توجه به اینکه این تغییر یک ضرب‌الاجل عملیاتی سخت (Hard Deadline) است، مدیران باید اقدامات زیر را در قالب یک پروژه مهاجرت هویت (Identity Migration) پیاده‌سازی کنند:
۱. شناسایی کاربران: بررسی Sign-in logs و گزارش‌های متدهای احراز هویت برای یافتن کاربرانی که تنها به SMS متکی هستند.
۲. تحلیل محیط: شناسایی دستگاه‌های مشترک و کاربرانی که دسترسی به گوشی‌های سازمانی ندارند.
۳. تست و استقرار: اجرای آزمایشی (Pilot) روش‌های جدید بر اساس سیاست‌های Conditional Access و بررسی سازگاری مرورگرها.
۴. به‌روزرسانی فرآیندها: اصلاح دستورالعمل‌های ثبت‌نام، رویه‌های Help-desk و برنامه‌های Break-glass.
محدودیت‌ها و استثنائات
این تصمیم شامل تمامی Tenantهای جهانی و US Government Community Cloud می‌شود. با این حال، سناریوهای Azure AD B2C و Microsoft Entra External ID در حال حاضر شامل این محدودیت نمی‌شوند. همچنین، ارائه‌دهندگان شخص ثالث (Third-party Telephony Providers) همچنان می‌توانند برای سناریوهای MFA خدمات ارائه دهند، اما دیگر نمی‌توانند SMS را به عنوان عامل اول ورود (First-factor) پشتیبانی کنند.
