Çok faktörlü kimlik doğrulama, kimlik ve erişim yönetiminin temel bir unsurudur, ancak saldırganlar MFA kontrollerini atlamak için giderek daha fazla sosyal mühendislik taktikleri kullandığından, hatasız değildir. MFA’nın güvenliğini artırmanın bir yolu olarak Microsoft, Microsoft Authenticator uygulamasının tüm kullanıcıları için “sayı eşleştirmeyi” zorunlu kılmaktadır.
Önceden, Microsoft Authenticator için işlem akışı, kullanıcı bir uygulamada oturum açmaya çalıştığında uygulamada bir bilgi istemi gösteriyordu. Kullanıcı, işleme izin vermek için ikincil cihazdaki isteme dokundu. Numara eşleştirme, kullanıcıları ikincil cihaza sahip olmaya ve birincil cihazda oturum açma ekranını görmeye zorlayarak bir adım daha ekler. Kullanıcıların artık sadece isteme dokunmak yerine, uygulamanın oturum açma ekranında görüntülenen bir numarayı girmesi gerekecek. Örneğin, Office 365’te oturum açan bir kişi, orijinal oturum açma ekranında sayısal kod içeren bir mesaj görür. Kişi, işlemi onaylamak için bu kodu ikincil cihazındaki Authenticator uygulamasına girer. Kodu girmeyi reddetmenin bir yolu yoktur.
Microsoft, bir destek makalesinde “Sayı eşleştirme, Microsoft Authenticator’daki geleneksel ikinci faktör bildirimlerine yönelik önemli bir güvenlik yükseltmesidir” dedi. “8 Mayıs 2023’ten itibaren yönetici denetimlerini kaldıracağız ve tüm Microsoft Authenticator push bildirimleri kullanıcıları için kiracı genelinde sayı eşleştirme deneyimini uygulayacağız.”
Saldırılar Daha Yaygın
Numara eşleştirme, Microsoft Authenticator’da ilk olarak Ekim 2022’de, saldırganların kullanıcılara MFA anlık bildirim istekleriyle spam göndermeye başlamasının ardından isteğe bağlı bir özellik olarak sunuldu. Kullanıcılar, istenmeyen posta bildirimlerini durdurmak için veya yanlışlıkla saldırganlara erişim izni veriyordu. Numara eşleştirme, kullanıcıların yanlışlıkla yanlış kimlik doğrulama girişimlerini onaylamasını önlemesine yardımcı olmak için tasarlanmıştır. Ağustos 2022’de, bir yıl önceki 32.442 oturuma kıyasla, birden çok başarısız MFA girişimiyle neredeyse 41.000 Azure Active Directory Koruma oturumu gözlemleyen Microsoft’a göre, MFA anında iletme bildirimi istekleriyle kullanıcıları ezici bir duruma getiren MFA yorgunluğu “daha yaygın hale geldi”. Microsoft, 2022’de bu taktiği kullanan 382.000 saldırı olduğunu söyledi.
Son zamanlarda Uber, Microsoft ve Okta’ya yönelik saldırılarda da kullanıldı.
Kimlik Doğrulayıcı ile eşleşen numara, parola sıfırlama, kayıt ve Active Directory’ye erişim gibi işlemler için kullanılacaktır. Kullanıcılar, yanlışlıkla onayları önlemek için uygulamanın adı ve oturum açma girişiminin konumu gibi ek bağlamları da görecektir. Buradaki fikir, kullanıcıların o sırada oturum açma ekranının önünde değillerse bir oturum açma girişimini kabul etmemeleri gerektiğidir.
Numara Eşleştirme Nasıl Etkinleştirilir
Şubat ayında Microsoft Azure için numara eşleştirme varsayılan olarak etkinleştirilirken, kullanıcılar bazı servislerin diğerlerinden önce bu özelliği kullanmaya başlayacağını görecekler. Microsoft, “tutarlı davranış sağlamak” için sayı eşleştirmesini önceden etkinleştirmenizi önerir. Yöneticiler şuraya giderek ayarı etkinleştirebilir: Güvenlik – Kimlik doğrulama yöntemleri – Microsoft Kimlik Doğrulayıcı Azure portalında.
- Üzerinde Etkinleştir ve Hedefle sekme, tıklayın Evet Ve Tüm kullanıcılar politikayı herkes için etkinleştirmek veya seçilen kullanıcıları ve grupları eklemek için. bu Kimlik Doğrulama Modu bu kullanıcılar ve gruplar için ya Herhangi veya İtmek.
- Üzerinde Yapılandır için sekme Push bildirimleri için numara eşleştirmeyi zorunlu kıldeğiştirmek Durum ile Etkinleştirilmişsayı eşleştirmesinden kimlerin dahil edileceğini veya hariç tutulacağını seçin ve tıklayın Kaydetmek.
Yöneticiler ayrıca kullanıcı başına izin verilen MFA kimlik doğrulama isteği sayısını sınırlayabilir ve sayı aşıldığında hesapları kilitleyebilir veya güvenlik ekibini uyarabilir.
Kullanıcılar, mobil cihazlarında Microsoft Authenticator’ın en son sürümüne yükseltme yapmalıdır.
Numara eşleştirme, Apple Watch veya diğer Android cihazlar gibi giyilebilir cihazlarda çalışmaz. Kullanıcıların bunun yerine numarayı mobil cihaz aracılığıyla girmeleri gerekecektir.