השאלה
Passkey הוא היום הדרך הבטוחה ביותר להתחבר ל-Microsoft 365: אי אפשר לגנוב אותו בפישינג, והוא לא תלוי במספר טלפון. אז למה, בטננט אחרי טננט, אנחנו עדיין רואים משתמשים שה-MFA היחיד שלהם הוא SMS?
מה בדקנו
בנינו בטננט מעבדה את ההגדרות שאנחנו פוגשים הכי הרבה אצל לקוחות, וניסינו לרשום Passkey ב-Microsoft Authenticator ב-iOS וב-Android, עם משתמש חדש שיש לו סיסמה בלבד:
- מדיניות Conditional Access על כל המשאבים שמחייבת App protection policy (MAM).
- מדיניות שמחייבת Authentication strength עמיד לפישינג לכל המשאבים.
- מדיניות על Register security info שמחייבת MFA.
- משתמשים שמאפסים סיסמה בעצמם (SSPR) עם SMS.
כל תוצאה בדקנו מול התיעוד של מיקרוסופט, והשווינו למה שראינו אצל לקוחות.
מה מצאנו
- משתמש בלי MFA נדחף ל-SMS קודם. עד היום, משתמש חדש היה צריך לרשום SMS או שיחה קולית לפני שהוא יכול להוסיף Passkey. בפועל, רוב העובדים עוצרים שם ונשארים עם SMS. מנובמבר 2026 זה משתנה (שינוי 1 בהמשך).
- מדיניות MAM על כל המשאבים חוסמת את Authenticator. האפליקציה לא תומכת בדרישות App protection, ולכן הרישום נכשל. זה המקרה הנפוץ ביותר אצל ארגונים שמנהלים טלפונים אישיים עם MAM.
- דרישת Passkey לכל המשאבים יוצרת לולאה. כדי להוסיף Passkey ב-Authenticator צריך להתחבר לאפליקציה, והמדיניות דורשת Passkey כדי להתחבר. המשתמש תקוע.
- איפוס סיסמה הוא הנקודה ששוכחים. גם אחרי שכל העובדים רשמו Passkey, הרבה מהם עדיין מאפסים סיסמה עם SMS. אחרי פברואר 2027 זה מפסיק לעבוד.
מה משתנה, ומתי
| מתי | מה משתנה |
|---|---|
| 1 בספטמבר 2026 | Passkeys מופעלים אוטומטית למשתמשים שמוגדרים ל-SMS או לשיחה קולית, והם מתבקשים לרשום Passkey בהתחברות הבאה. |
| 30 באוקטובר 2026 | ארגונים שחייבים SMS יכולים לבחור ספק טלפוניה בתשלום דרך Microsoft Security Store. |
| נובמבר 2026 – פברואר 2027 | שינוי 1: Passkey יכול להיות שיטת ה-MFA הראשונה, בלי SMS לפני כן. בשני שלבים: קודם Passkeys מסונכרנים, Passkeys של Entra ב-Windows ומפתחות FIDO2; אחר כך Windows Hello for Business, macOS Platform SSO ו-Passkey ב-Authenticator. |
| נובמבר 2026 | שינוי 2: משאב חדש, Microsoft Authenticator Credential Registration, שאפשר להחריג מ-Conditional Access. |
| 1 בפברואר 2027 | שינוי 3: סוף ה-SMS והשיחות הקוליות של מיקרוסופט לכל המשתמשים, כולל איפוס סיסמה, חוץ מ-Global Administrators ומשתמשים חיצוניים. מי שאין לו שיטה אחרת יחויב לרשום Passkey בהתחברות. |
| 1 ביולי 2027 | אותו דבר ל-Global Administrators ולמשתמשים חיצוניים. |
מה זה פותר, ומה לא
- ממצא 1 נפתר בשינוי 1: עובד חדש יכול לרשום Passkey ישר. לא נדרשת פעולה, אבל כדאי לעדכן את ההנחיות לעובדים.
- ממצאים 2 ו-3 נפתרים בשינוי 2, אבל רק אם עושים את זה בעצמכם: יוצרים בטננט את ה-Service principal של Microsoft Authenticator Credential Registration (הבקשה למטה), ומחריגים אותו מכל מדיניות על כל המשאבים שחוסמת את הרישום.
- ממצא 4 לא נפתר מעצמו. שינוי 3 רק מכריח אתכם לטפל בו. הדחייה הזמנית (
passkeyDynamicMigration) דוחה עד פברואר 2027 רק את ההפעלה האוטומטית, לא את הפרישה.
POST https://graph.microsoft.com/v1.0/servicePrincipals
{ "appId": "6aa00308-ea33-4caa-90d6-ae905d8cb51b" }מה לעשות עכשיו
- מוצאים מי עדיין תלוי ב-SMS, לכניסה וגם לאיפוס סיסמה: בסקריפט של מיקרוסופט (entra-sms-voice-usage-analyzer) ובדוח Authentication methods activity.
- מפעילים Passkeys עם Passkey profile לקבוצות הנכונות. ב-Authenticator נדרש Android 14 או iOS 17 ומעלה.
- עוברים על כל מדיניות על כל המשאבים שמחייבת MAM או Passkey, ומוסיפים את ההחרגה החדשה.
- מגינים על הרישום עם מדיניות על Register security info שמחייבת MFA.
- מתחילים במנהלים ובחשבונות החירום, ואז שאר העובדים, עם הודעה מראש.
- ב-Android עם פרופיל עבודה, Passkey נדרש בכל פרופיל בנפרד.
על פרישת ה-SMS עצמה, מי מושפע ומה קורה אם לא עושים כלום: SMS ושיחה קולית יוצאים משימוש ב-Entra ID.
רוצים לדעת איפה הטננט שלכם עומד? Griffin31 בודק אם SMS עדיין מופעל, אם Passkeys מופעלים, ואם מנהלים וכלל המשתמשים מחויבים ב-MFA עמיד לפישינג.
מקורות
- Microsoft 365 Message Center MC1450133 (public archive)
- Microsoft: Enable passkeys in Authenticator
- Microsoft: Passkeys by default and retirement of SMS and voice
- Microsoft: SMS and voice retirement FAQ
- Microsoft: Protect security info registration with Conditional Access
- Microsoft: SMS and voice usage analyzer script