מה משתנה
Microsoft כבר לא רואה ב-SMS ובשיחה קולית שיטות אימות מאובטחות, והופכת את ה-passkeys לחוויית ההתחברות ברירת המחדל ב-Entra ID.
| תאריך | מה קורה |
|---|---|
| 1 בספטמבר 2026 | כבר בתוקף: משתמשים שמוגדרים ל-SMS או לשיחה קולית מוגדרים אוטומטית גם ל-passkeys, ומתבקשים לרשום אחד בפעם הבאה שהם עוברים MFA. |
| 30 באוקטובר 2026 | ארגונים שחייבים להמשיך עם SMS או שיחה קולית יכולים לבחור ספק טלפוניה בתשלום דרך Microsoft Security Store. |
| 1 בפברואר 2027 | קודי ה-SMS והשיחה הקולית המובנים של Microsoft מפסיקים לכל המשתמשים, כולל אורחים פנימיים, חוץ מ-Global Administrators ומשתמשים חיצוניים. |
| 1 ביולי 2027 | אותו דבר ל-Global Administrators ולמשתמשים חיצוניים. |
מה קורה אם לא עושים כלום
אחרי תאריך היציאה משימוש, משתמש ששיטת ה-MFA היחידה שלו היא SMS או שיחה קולית יצטרך לרשום passkey במהלך ההתחברות לפני שיוכל להמשיך. הבקשה חוסמת, ו-Microsoft לא מאפשרת לוותר עליה. ויתור זמני קיים רק על בקשות ה-passkey האוטומטיות שלפני 1 בפברואר 2027.
ביום שני רגיל בבוקר, זה אומר תור בהלפדסק ואנשים שנעולים מחוץ למייל ול-Teams עד שיסיימו לרשום, הרבה פעמים בטלפון שהם לא היו מוכנים להשתמש בו.
למה זה חשוב
זה לא רק שינוי טכני שצריך לסמן עליו וי. קודי SMS ושיחה קולית הם מהשיטות החלשות ביותר ל-MFA:
- פישינג: דף התחברות מזויף מבקש את הקוד ומעביר אותו ישר לתוקף, שמתחבר איתו באותו רגע.
- SIM swap: תוקף משכנע את חברת הסלולר להעביר את המספר שלכם ל-SIM שלו, ומקבל את הקודים שלכם.
- יירוט: הודעות ושיחות לא מוצפנות מקצה לקצה. CISA ממליצה לא להשתמש ב-SMS כגורם אימות שני מהסיבה הזו.
passkeys משתמשים במפתח שאף פעם לא יוצא מהמכשיר של המשתמש, ועובד רק בדף ההתחברות האמיתי של Microsoft. דף מזויף לא מקבל שום דבר שאפשר להשתמש בו שוב, ומספר טלפון גנוב לא שווה כלום.
מגבלה אחת שכדאי לזכור: passkeys מגינים על ההתחברות עצמה. הם לא עוצרים תוקף שגונב session token ממכשיר שכבר מחובר. כתבנו על זה במאמר על גניבת tokens ו-CAE.
מה לעשות עכשיו
- מצאו מי עדיין משתמש ב-SMS או בשיחה קולית. Microsoft מפרסמת סקריפט שמציג אותם (נדרש Global Reader, Security Reader או Authentication Policy Administrator). גם הדוח Authentication methods activity ב-Entra admin center מציג רישומים.
- הפעילו passkeys. ב-Entra admin center, תחת Authentication methods, הפעילו את Passkey (FIDO2) למשתמשים האלה. גם synced passkeys (iCloud Keychain, Google Password Manager) וגם passkeys ב-Microsoft Authenticator עובדים.
- הריצו קמפיין רישום. Registration campaign תחת Authentication methods מבקש מהמשתמשים להגדיר passkey בהתחברות ה-MFA הבאה שלהם. זו הדרך הקלה ביותר להעביר הרבה משתמשים בלי להעמיס על ההלפדסק.
- התחילו עם האדמינים וחשבונות החירום. תנו לכל אדמין ולכל חשבון break-glass passkey או מפתח אבטחה קודם, כדי שאף אחד חשוב לא יינעל בחוץ ביום עצמו.
- ספרו למשתמשים. הסבירו מה משתנה, מתי, ומה הם צריכים לעשות. Microsoft מספקת תבניות מוכנות לתקשורת עם משתמשים.
- השאירו SMS רק איפה שחייבים. אם רגולציה או צורך תפעולי באמת מחייבים SMS או שיחה קולית, הגדירו ספק טלפוניה מ-Microsoft Security Store לפני התאריך. את כל השאר העבירו ל-passkeys.
איך Griffin31 עוזר
Griffin31 בודק את הגדרות ההתחברות שלכם באופן רציף, כך שתוכלו לראות מי עדיין תלוי ב-SMS הרבה לפני המועד. ההמלצות שכדאי לבדוק:
- SMS authentication method: האם SMS עדיין מופעל למשתמשים שלכם.
- SMS for first-factor sign-in: מי מתחבר עם קוד SMS בלבד.
- Passwordless authentication for end users: האם passkeys מופעלים.
- Phishing-resistant MFA for admin roles: האם אדמינים חייבים להשתמש ב-passkey או בשיטה אחרת עמידה לפישינג.
- Phishing-resistant MFA for all users: אותו דבר לכולם.
רוצים לדעת מי אצלכם עדיין תלוי ב-SMS לפני פברואר 2027? Griffin31 בודק את הגדרות ההתחברות בטננט שלכם באופן רציף ומראה מה לתקן קודם.
מקורות
- Microsoft: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication
- Microsoft: Frequently asked questions about SMS and voice retirement
- Microsoft: Choose a telephony provider for SMS and voice authentication
- Microsoft: Plan a passkey deployment in Microsoft Entra ID
- Microsoft: SMS and voice usage analyzer script
- CISA: Mobile communications best practice guidance