🔐 О беспарольной учетной записи Microsoft (MSA)
Теперь в MSA теперь можно
удалить пароль. Формулировка важна, потому что беспарольную MSA давно можно
создать. Пусть не в Windows, но хотя бы
в iOS и Android. Microsoft давно и последовательно движется к тотальной беспарольной аутентификации и потребителей не оставляет на обочине. Зачет!
ℹ️ Помимо
анонса в корпоративном блоге компания выпустила
KB5000104 с ответами на вопросы. Впрочем, там не упоминается, что помимо аутентификатора в
настройках безопасности MSA должно быть еще как минимум два варианта доставки второго фактора. Например, я намеренно удаляю номер телефона, чтобы исключить перевыпуск SIM. Поэтому мне потребуется задать две разных почты.
Удаление пароля не всем подходит:
🔹 В чате
Alexander O
сразу подметил, что без пароля не подключиться по RDP к домашнему ПК. Понятно, что кейс не самый распространенный, но для Microsoft проблемы нет вообще. Потому что MSA для потребителей, которым положено домашнее издание, где нет RDP :)
🔹 Возникает и проблема доступа к ПК в пределах локальной сети, в т.ч. расшаривания папок. Домашней группы в Windows больше нет, но это не значит, что дома исчезла необходимость в общем доступе к файлам.
Также в чате
dartraiden
усомнился в двухфакторности беспарольного входа и поинтересовался, не безопаснее ли использовать пароль + код из приложения. Это действительно #2FA, но аутентификация
полностью смещается на смартфон.
Выбор же оптимального способа зависит от вероятности угроз:
🔑 Допустим, ревнивая жена хочет читать почту супруга на
outlook.com
и не погнушается приложить его палец к сканеру отпечатков пока тот спит. Мужу лучше не пользоваться беспарольным входом.
🎣 Если же защищаться от целевой фишинговой атаки, например, с целью сбора компромата или сведений для дальнейших взломов, беспарольный вход хорош. Потому что вы нигде ничего не вводите. Иначе, не распознав подвох, можно отдать злоумышленнику пароль и вслед одноразовый код,
фреймворки есть.
Кстати, в канале был отличный пост
про уязвимости процессов аутентификации.
👉 Резюме
Беспарольный вход в MSA я использую по возможности и вам рекомендую - это удобно и безопасно. Но удалять пароль я не буду, потому что у меня есть сценарии его использования.
📊 Пользуетесь ли вы беспарольным входом в MSA?
👍 - Да
🔢 - Нет, ввожу пароль, потом второй фактор
🦌 - Нет, у меня не включена 2FA
❌ - Не пользуюсь MSA / Моего варианта нет