Conectare sigură fără parolă la contul Microsoft, utilizând o cheie de securitate sau Windows Hello

Nota editorului 26.11.2018:
Acest articol a fost actualizat pentru a include informații despre disponibilitatea conectării fără parolă.

Salutare, oameni buni,

Îmi face o deosebită plăcere să vă transmit noutățile de astăzi! De curând am activat capacitatea de conectare în siguranță la contul Microsoft utilizând un dispozitiv compatibil FIDO2 standardizat, fără nume de utilizator sau parolă! FIDO2 le permite utilizatorilor să utilizeze dispozitive standardizate pentru autentificarea cu ușurință la servicii online, în medii desktop și mobile. Această caracteristică este disponibilă acum în Statele Unite și va fi implementată la nivel global în următoarele săptămâni.

Această combinație de utilizare ușoară, securitate și sprijin pe scară largă acordat în domeniul IT va fi revoluționară atât acasă, cât și la locurile de muncă moderne. În fiecare lună, peste 800 de milioane de persoane utilizează un cont Microsoft pentru a crea, a se conecta și a partaja de oriunde în Outlook, Office, OneDrive, Bing, Skype și Xbox Live când lucrează și când se distrează. Iar acum cu toții pot beneficia de această experiență de utilizator simplă și de securitate îmbunătățită considerabil.

Începând de astăzi, puteți utiliza un dispozitiv FIDO2 sau Windows Hello pentru a vă conecta la contul Microsoft, utilizând browserul Microsoft Edge.

Urmăriți acest video scurt care vă arată cum funcționează:

Microsoft și-a propus să elimine parolele și să îi ajute pe oameni să își protejeze datele și conturile împotriva amenințărilor. Ca membru al Alianței Fast Identity Online (FIDO) și al Consorțiului World Wide Web (W3C), am lucrat alături de alții la dezvoltarea unor standarde deschise pentru următoarea generație de autentificare. Îmi face plăcere să anunț că Microsoft este prima companie din topul Fortune 500 care susține autentificarea fără parolă utilizând specificațiile WebAuthn și FIDO2, iar Microsoft Edge susține cea mai largă gamă de structuri de autentificare în comparație cu alte browsere principale.

Dacă doriți să aflați mai multe detalii despre modul în care funcționează această caracteristică și cum poate fi implementată, citiți în continuare.

Noțiuni de bază

Pentru a vă conecta la contul Microsoft utilizând o cheie de securitate FIDO2:

1. Dacă nu ați făcut deja acest lucru, asigurați-vă că actualizați la versiunea Windows 10 din octombrie 2018.
2. Accesați pagina contului Microsoft în Microsoft Edge și conectați-vă așa cum ați face în mod normal.
3. Selectați Securitate > Mai multe opțiuni de securitate și, sub Windows Hello și cheile de securitate, veți vedea instrucțiuni pentru configurarea unei chei de securitate. (Puteți achiziționa o cheie de securitate de la unul dintre partenerii noștri, inclusiv Yubico și Feitian Technologies care acceptă standardul FIDO2.*)
4. Data viitoare când vă conectați, puteți fie să faceți clic pe Mai multe opțiuni > Utilizați o cheie de securitate, fie să tastați numele de utilizator. În acel moment, vi se va solicita să utilizați o cheie de securitate pentru a vă conecta.

Și ca memento, iată cum să vă conectați la contul Microsoft, utilizând Windows Hello:

1. Asigurați-vă că ați actualizat la versiunea Windows 10 din octombrie 2018.
2. Dacă nu ați făcut-o deja, va trebui să configurați Windows Hello. Dacă ați configurat Windows Hello, sunteți gata!
3. Data viitoare când vă conectați la Microsoft Edge, puteți fie să faceți clic pe Mai multe opțiuni > Utilizați Windows Hello sau o cheie de securitate, fie să tastați numele de utilizator. În acel moment, vi se va solicita să utilizați Windows Hello sau o cheie de securitate pentru a vă conecta.

Dacă aveți nevoie de ajutor suplimentar, consultați articolul nostru de ajutor detaliat privind modul de a efectua configurarea.

*Există o serie de caracteristici opționale în specificațiile FIDO2 pe care le considerăm fundamentale pentru securitate; prin urmare, vor funcționa doar cheile care au implementat aceste caracteristici. Citiți Ce este o cheie de securitate compatibilă cu Microsoft? pentru a afla mai multe.

Cum funcționează?

În culise am implementat specificațiile WebAuthn și FIDO2 CTAP2 în serviciile noastre pentru a transforma acest lucru în realitate.

Spre deosebire de parole, FIDO2 protejează acreditările de utilizator utilizând criptarea cu cheie publică/privată. Atunci când creați și înregistrați o acreditare FIDO2, dispozitivul (PC-ul sau dispozitivul FIDO2) generează o cheie privată și publică pe dispozitiv. Cheia privată este stocată în siguranță pe dispozitiv și poate fi utilizată numai după ce a fost deblocată utilizând un gest local, cum ar fi informații biometrice sau un cod PIN. Rețineți că informațiile biometrice sau codul PIN rămân mereu pe dispozitiv. În timp ce cheia privată este stocată, cheia publică este trimisă la sistemul de cont Microsoft în cloud și înregistrată cu contul dvs. de utilizator.

La următoarea conectare, sistemul de cont Microsoft oferă o cheie de unică folosință (nonce) pe PC-ul sau pe dispozitivul dvs. FIDO2. PC-ul sau dispozitivul utilizează apoi cheia privată pentru a conecta cheia de unică folosință. Cheia de unică folosință conectată și metadatele sunt trimise înapoi la sistemul de cont Microsoft, unde sunt verificate utilizând cheia publică. Metadatele conectate, conform specificațiilor WebAuthn și FIDO2, furnizează informații, de exemplu dacă utilizatorul a fost prezent, și verifică autentificarea prin gestul local. Datorită acestor proprietăți, autentificarea cu Windows Hello și dispozitive FIDO2 nu este vulnerabilă la atacuri de phishing și nici nu poate fi fraudată cu ușurință prin malware.

Cum implementează Windows Hello și dispozitivele FIDO2 acest lucru? Pe baza capacităților dispozitivului Windows 10, veți avea o enclavă sigură încorporată, cunoscută drept Modul platformă de încredere hardware (TPM) sau software TPM. TPM stochează cheia privată, care poate fi deblocată numai cu ajutorul feței, amprentei sau PIN-ului dvs. În mod similar, un dispozitiv FIDO2, cum ar fi o cheie de securitate, este un mic dispozitiv extern cu propria enclavă sigură încorporată care stochează cheia privată și necesită informații biometrice sau un cod PIN pentru deblocare. Ambele opțiuni oferă autentificare pe două niveluri dintr-un singur pas, necesitând un dispozitiv înregistrat și o informație biometrică sau un cod PIN pentru a vă conecta cu succes.

Consultați acest articol pe blogul nostru Standarde de identitate, care intră în toate detaliile tehnice legate de implementare.

Ce urmează

Avem de lansat numeroase lucruri excepționale ca parte a eforturilor noastre de a reduce și chiar de a elimina utilizarea parolelor. Lucrăm în prezent la aceeași experiență de conectare dintr-un browser cu chei de securitate pentru conturile de la locul de muncă și de la școală în Azure Active Directory. Clienții Enterprise vor putea previzualiza această caracteristică la începutul anului următor, când le vor putea permite angajaților să își configureze propriile chei de securitate pentru conturile lor când se conectează la Windows 10 și mediul cloud.

În plus, în timp ce mai multe browsere și platforme vor începe să accepte standardele WebAuthn și FIDO2, sperăm că experiența fără parolă disponibilă în prezent în Microsoft Edge și Windows va fi disponibilă pretutindeni!

Rămâneți conectați pentru mai multe detalii la începutul anului următor!

Cu stimă,
Alex Simons (@Twitter: @Alex_A_Simons)
CVP Management programe
Divizia Microsoft Identity