Microsoft test wachtwoordloos inloggen op Azure AD met usb-sleutel
Microsoft is een open test begonnen waarbij organisaties die van Azure Active Directory (Azure AD) gebruikmaken hun gebruikers via een usb-beveiligingssleutel op apps en diensten kunnen laten inloggen. Dit moet het inloggen via wachtwoorden vervangen, want dat is volgens Microsoft geen effectieve beveiligingsmaatregel meer.
"Elke dag stappen meer en meer van onze klanten over op clouddiensten en -applicaties. Ze moeten weten dat de data in deze diensten veilig is. Helaas zijn wachtwoorden geen effectieve beveiligingsmaatregel meer", zegt Alex Simons van Microsoft. Hij wijst naar onderzoek waaruit zou blijken dat 81 procent van de succesvolle cyberaanvallen met gecompromitteerde gebruikersnamen en wachtwoorden begint.
"Het is duidelijk dat we onze klanten authenticatie-opties moeten bieden die veilig en eenvoudig te gebruiken zijn, zodat ze op vertrouwelijke wijze informatie kunnen benaderen zonder dat ze bang hoeven te zijn dat hackers hun accounts overnemen", gaat Simons verder. Wachtwoordloos inloggen moet volgens Microsoft het aantal gekaapte accounts aanzienlijk verminderen.
Azure AD-gebruikers kunnen nu van een FIDO2-beveiligingssleutel gebruikmaken om in te loggen, alsmede de Microsoft Authenticator-app of Windows Hello. De nieuwe inlogmethodes zijn via een public preview beschikbaar gemaakt. Beheerders kunnen via het Azure AD-beheerdersportaal gebruikers en groepen aangeven die via een FIDO-beveiligingssleutel en Microsoft Authenticator kunnen inloggen.
Om via de beveiligingssleutel op Windows 10-machines in te loggen moet wel de laatste versie van Microsoft Edge of Mozilla Firefox zijn geïnstalleerd. Simons merkt op dat Microsoft vier stappen volgt om wachtwoorden te elimineren. Door het aanbieden van wachtwoordalternatieven en vervolgens het overstappen op wachtwoordloos inloggen wil de softwaregigant een omgeving zonder wachtwoorden faciliteren.
Goedkoper alternatief? standaard wachtwoordpolicies instellen in AD (zoals eisen aan lengte, samenstelling, uniciteit, niet voorkomen in haveibeenpwnd, ...).
Is niet het gewenste bedrijfsbeleid, zeker ;)
Sukkels.
als je dit combineert met een vingerscan afdruk dan maak je weer een stap of een iris scan,
Dit soort keys worden al overal gebruikt, en werken prima waarvoor ze bedoelt zijn. En gezien wachtwoorden domweg niet werken bij gebruikers, zijn dit soort alternatieven alleen maar prima.
En nee, MS maakt deze keys niet zelf, en je kunt ze gewoon direct bij de fabrikant bestellen.....
Dit soort keys worden al overal gebruikt, en werken prima waarvoor ze bedoelt zijn. En gezien wachtwoorden domweg niet werken bij gebruikers, zijn dit soort alternatieven alleen maar prima.
En nee, MS maakt deze keys niet zelf, en je kunt ze gewoon direct bij de fabrikant bestellen.....
Juist.
Ik geloof ook dat deze oplossing een iets betere manier is dan wachtwoorden. Natuurlijk zijn er nog veel veiliger methodes, maar dit is een simpele manier om beetje veiliger te worden.
Over inbreken op accounts met verloren usb sleutels, dat is geen schaalbare aanval. Wachtwoorden geautomatiseerd aanvallen is dat wel.
De enige die je kan vertrouwen met je data dat ben jezelf.
Wie zegt dat dat zo veilig is?
De enige die je kan vertrouwen met je data dat ben jezelf.
Wie gaat hier aan verdiepen? Microsoft niet, aangezien die geen FIDO2 keys leveren.
Het zal dus voornamelijk bedrijfskosten zijn. Eigenlijk het zelfde als je een laptop of gewone USB stick verliest. Kost ook geld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
