ใช้การรับรองความถูกต้องด้วยสองปัจจัยของ Azure AD สำหรับผู้ใช้

ล่าสุด ลูกค้ารายหนึ่งของฉันมีบัญชีของผู้ใช้ที่ถูกบุกรุก เนื่องจากผู้ใช้มีรหัสผ่านที่ไม่รัดกุม (ชื่อทีมฟุตบอลท้องถิ่นตามด้วยหมายเลขตามลำดับ) บัญชีของเขาจึงถูกบุกรุกโดยใช้การโจมตีแบบสเปรย์รหัสผ่าน

วิธีหนึ่ง (จากหลายวิธี) เพื่อหลีกเลี่ยงปัญหานี้คือการใช้การรับรองความถูกต้องด้วยหลายปัจจัย (MFA) นอกจากชื่อผู้ใช้และรหัสผ่านปกติแล้ว MFA ยังใช้ตัวเลือกการตรวจสอบสิทธิ์อื่น เช่น ข้อความ แอพบนอุปกรณ์มือถือของคุณ หรือ ‘รหัสผ่านสำหรับแอพ’ เมื่ออีกสองตัวเลือกไม่สามารถใช้งานได้ด้วยเหตุผลบางประการ

หมายเหตุ MFA มีให้เลือกสามเวอร์ชัน มี MFA สำหรับบัญชีผู้ดูแลระบบ (MFA สำหรับบัญชีผู้ดูแลระบบ) มีเวอร์ชันเต็มเป็นส่วนหนึ่งของการสมัครใช้งาน Azure AD Premium และมีเวอร์ชันน้ำหนักเบาสำหรับการสมัครใช้งาน Office 365 ธุรกิจทั้งหมดที่เรียกว่า Multi-Factor Authentication สำหรับ Office 365 เวอร์ชันนี้สามารถ ใช้กับบริการ Office 365 เท่านั้นและเป็นบริการที่ฉันใช้กับบล็อกนี้

ข้อกำหนดของ MFA

ก่อนที่คุณจะเริ่มใช้ MFA ในสภาพแวดล้อมของคุณ ตรวจสอบให้แน่ใจว่าผู้เช่า Office 365 และอุปกรณ์ของคุณตรงตามเกณฑ์ต่อไปนี้

ไคลเอนต์ Office 2016 รองรับ MFA โดยใช้ Active Directory Authentication Library (ADAL) เช่นเดียวกับเบราว์เซอร์ ผู้เช่า Office 365 บางรายไม่ได้เปิดใช้งานฟังก์ชัน ADAL ตามค่าเริ่มต้น โดยเฉพาะผู้เช่ารุ่นเก่าไม่ได้เปิดใช้งาน หากต้องการตรวจสอบว่าผู้เช่าของคุณรองรับสิ่งนี้หรือไม่ ให้เปิด Exchange Management Shell สำหรับ Exchange Online แล้วป้อนคำสั่งต่อไปนี้:

รับ-OrganizationConfig | รูปแบบ-ชื่อตาราง *OAuth*

หากส่งคืนค่า False ดังที่แสดงในภาพหน้าจอด้านล่าง (ฉันมีผู้เช่ารุ่นเก่า) คุณสามารถใช้คำสั่งต่อไปนี้เพื่อเปิดใช้งานในระดับองค์กร:

ชุด-OrganizationConfig -OAuth2ClientProfileEnabled:$true

สิ่งเดียวกันควรเป็นจริงสำหรับไคลเอนต์ Skype for Business Online เมื่อต้องการตรวจสอบการสนับสนุน ADAL ในผู้เช่าของคุณ ให้เปิดคำสั่ง Skype for Business Online PowerShell และดำเนินการคำสั่งต่อไปนี้:

รับ-CsOAuthConfiguration | เลือก *ลูกค้า*

หากไม่ได้เปิดใช้งาน (ดังที่แสดงในภาพหน้าจอต่อไปนี้) คุณสามารถใช้คำสั่งต่อไปนี้เพื่อเปิดใช้งาน:

ตั้งค่า CsOAuthConfiguration - ClientAdalAuthOverride อนุญาต

สำหรับแอปรุ่นเก่าหรือแอปที่ไม่รองรับ MFA ผ่าน ADAL คุณสามารถใช้ รหัสผ่านแอป นี่เป็นรหัสผ่านพิเศษ โดยเฉพาะอย่างยิ่งสำหรับอุปกรณ์ที่คุณใช้งาน คุณสามารถใช้ AppPassword บนอุปกรณ์เฉพาะนี้เท่านั้น และไม่สามารถใช้บนอุปกรณ์อื่นได้ สำหรับอุปกรณ์อื่นๆ คุณต้องมี AppPassword เพิ่มเติม AppPassword จะถูกสร้างขึ้นในครั้งแรกที่คุณใช้ MFA บนอุปกรณ์ซึ่งจะแสดงในภายหลังในบล็อกนี้

สำหรับอุปกรณ์เคลื่อนที่ ฉันขอแนะนำอย่างยิ่งให้ติดตั้ง Microsoft Authenticator เพื่อช่วยให้คุณตรวจสอบสิทธิ์ได้ง่ายขึ้นอีกเล็กน้อย ข้อมูล MFA จะถูกจัดเก็บไว้ในอุปกรณ์เฉพาะนี้และมีอยู่ในเครื่องเฉพาะนี้เท่านั้น Microsoft Authenticator มีให้บริการผ่าน App Store บนอุปกรณ์ของคุณ

เปิดใช้งาน MFA

หากต้องการเปิดใช้งาน MFA สำหรับบัญชีคลาวด์ ให้เปิด Microsoft Online Portal (https://portal.office.com) และเข้าสู่ระบบโดยใช้บัญชีผู้ดูแลระบบผู้เช่า เลือกผู้ใช้ที่ใช้งานอยู่ แต่ก่อนที่คุณจะเลือกผู้ใช้ใด ๆ ให้คลิกที่กล่องแบบเลื่อนลงเพิ่มเติมและเลือกการตั้งค่าการรับรองความถูกต้องแบบหลายปัจจัยตามที่แสดงในภาพหน้าจอต่อไปนี้:

ในหน้าต่างถัดไป ให้เลือกผู้ใช้ที่คุณต้องการให้ MFA เปิดใช้งาน แล้วคลิก เปิดใช้งาน ในบานหน้าต่างด้านขวา ในช่องยืนยัน คลิก เปิดใช้งานการรับรองความถูกต้องแบบหลายปัจจัย

ในหน้าต่างเดียวกัน คุณยังสามารถเปลี่ยน การตั้งค่าบริการ ดังที่แสดงด้านล่าง:

ในการตั้งค่าบริการ คุณสามารถเปลี่ยนตัวแปรได้ เช่น ต้องการให้ผู้ใช้สร้างรหัสผ่าน App หรือไม่ ตัวเลือกการตรวจสอบสิทธิ์ใดบ้างที่สามารถใช้ได้ และกรอบเวลาในการจดจำการตรวจสอบสิทธิ์ MFA:

ตรวจสอบให้แน่ใจว่าได้เลือกปุ่มตัวเลือก อนุญาตให้ผู้ใช้สร้างรหัสผ่านสำหรับแอปเพื่อลงชื่อเข้าใช้แอปที่ไม่ใช่เบราว์เซอร์ ในเวลาเดียวกัน ให้ดูที่ตัวเลือก อนุญาตให้ผู้ใช้จดจำการตรวจสอบสิทธิ์แบบหลายปัจจัยบนอุปกรณ์ที่พวกเขาเชื่อถือ เมื่อใช้ตัวเลือกนี้ คุณสามารถกำหนดจำนวนวันก่อนที่ผู้ใช้ต้องใช้ MFA อีกครั้งในการตรวจสอบสิทธิ์ ในระหว่างนี้ อุปกรณ์ได้รับความเชื่อถือและไม่จำเป็นต้องใช้ MFA

การใช้ MFA กับลูกค้าของคุณ

หลังจากเปิดใช้งาน MFA และคุณเข้าสู่ระบบเช่น OWA จะมีการแสดงป๊อปอัปเพิ่มเติมเมื่อมีการร้องขอข้อมูลเพิ่มเติม หมายเลขโทรศัพท์มือถือมีอยู่แล้วใน Active Directory และมีการเติมไว้ล่วงหน้า และข้อความจะถูกส่งไปยังหมายเลขนี้

หลังจากป้อนรหัสตรวจสอบ คุณจะเข้าสู่ระบบอย่างเป็นทางการ ขั้นตอนสุดท้ายคือแสดง AppPassword คุณสามารถใช้ AppPassword นี้บนอุปกรณ์นี้สำหรับแอปพลิเคชันที่ไม่รองรับ Microsoft MFA (ผ่าน ADAL)

เมื่อ Outlook 2016 เริ่มต้นขึ้น ป๊อปอัปเพิ่มเติมจะปรากฏขึ้นในตำแหน่งที่ต้องป้อนรหัสตรวจสอบ เนื่องจาก MFA จะถูกจดจำเป็นเวลา 30 วัน คุณจะไม่เห็นสิ่งนี้อีกใน 4 สัปดาห์ที่กำลังจะมาถึง (และสองวัน ?)

เช่นเดียวกับไคลเอนต์ OneDrive for Business และ Skype for Business พวกเขาจำเป็นต้องตรวจสอบสิทธิ์เช่นกัน แล็ปท็อปที่ทำงานของฉันเข้าร่วม Azure AD แล้ว และข้อดีคือฉันต้องเข้าสู่ระบบเพียงครั้งเดียว และต้องป้อนการตรวจสอบสิทธิ์ SMS เพียงครั้งเดียวเนื่องจากโทเค็นทั้งสองถูกจัดเก็บไว้ในอุปกรณ์

เมื่อเปิดใช้งาน MFA ดังที่แสดงด้านล่าง จะมีการบังคับใช้บนอุปกรณ์เคลื่อนที่ด้วย ฉันมี iPhone ที่ใช้ iOS 12.2 และรองรับ MFA ในตัว ครั้งถัดไปที่อุปกรณ์จำเป็นต้องตรวจสอบสิทธิ์ (อาจใช้เวลาสักครู่หลังจากเปิดใช้งาน MFA) รหัสตรวจสอบจะถูกส่งไปยังอุปกรณ์ นี่อาจเป็นเรื่องท้าทายเล็กน้อยเนื่องจากคุณต้องป้อนรหัสนี้บนอุปกรณ์ Microsoft Authenticator (หรือตัวรับรองความถูกต้อง) สามารถช่วยคุณได้ที่นี่ โดยเฉพาะอย่างยิ่งหากคุณมีหลายโปรไฟล์ที่มีกล่องจดหมายหลายกล่อง (เปิดใช้งาน MFA)

ในอีก 30 วันข้างหน้า (หรือกรอบเวลาใดก็ตามที่คุณป้อน) คุณจะไม่ได้รับคำถามในการตรวจสอบ MFA เว้นแต่คุณจะเปลี่ยนรหัสผ่าน จากนั้น MFA จะถูกเรียกใช้ และคุณจะต้องตรวจสอบสิทธิ์อีกครั้ง โปรดจำไว้ว่าโทเค็นจะถูกจัดเก็บไว้ในอุปกรณ์ภายใน ดังนั้นหากคุณต้องการตรวจสอบอีเมลของคุณบนอุปกรณ์อื่น คุณก็มีการรับรองความถูกต้องโดยใช้ MFA บนอุปกรณ์นั้นเช่นกัน และนี่คือสิ่งที่จะทำให้ผู้ร้ายในไนจีเรียหงุดหงิด (ภาพหน้าจอด้านล่างแสดงที่ที่ผู้โจมตีซ่อนตัวอยู่) เนื่องจากพวกเขาไม่สามารถเข้าถึงอุปกรณ์ของคุณได้ ดังนั้นแม้จะมีรหัสผ่านที่อ่อนแอ (ยังไม่แนะนำ!) คุณก็ควรปลอดภัยกว่านี้มาก

สรุป

คุณสามารถใช้การรับรองความถูกต้องแบบหลายปัจจัยเป็นมาตรการเพิ่มเติมเพื่อต่อต้านแฮกเกอร์ที่ต้องการใช้ข้อมูลประจำตัวผู้ใช้เพื่อเข้าถึงสภาพแวดล้อมของคุณ เนื่องจากจำเป็นต้องใช้วิธีการรับรองความถูกต้องเพิ่มเติม จึงเป็นเรื่องยากมากขึ้นที่จะเข้าถึงสภาพแวดล้อมของคุณสำหรับผู้ไม่ประสงค์ดี เนื่องจากพวกเขาไม่สามารถเข้าถึงอุปกรณ์มือถือ จึงแทบจะเป็นไปไม่ได้เลยที่จะใช้กล่องจดหมายในทางที่ผิด

ขั้นตอนต่อไปคือการใช้รหัสผ่านน้อยลงในการตรวจสอบสิทธิ์ แต่นั่นสำหรับบล็อกในอนาคต ?

ข้อมูลมากกว่านี้