הכתבה מבוססת על הודעת מיקרוסופט ועל הניסיון שלנו בפרויקטים של אבטחת מידע ב-Microsoft 365.
מה בדיוק משתנה
עד היום, משתמש שהתחבר עם סיסמה בלבד היה צריך לרשום קודם שיטת אימות נוספת, כמו SMS או שיחה קולית, ורק אחר כך יכול היה להוסיף Passkey. הדרישה הזו מוסרת: ה-Passkey יכול להיות השיטה הראשונה. משתמשים שמוגדרים ל-Passkeys יקבלו הצעה לרשום Passkey כברירת מחדל, גם ברישום שמתחיל בגלל דרישת MFA במדיניות Conditional Access.
| שלב | מתי | מה כלול |
|---|---|---|
| 1 | מתחילת נובמבר 2026 עד תחילת ינואר 2027 | Passkeys מסונכרנים, Passkeys של Entra ב-Windows, מפתחות אבטחה FIDO2 |
| 2 | מינואר עד סוף פברואר 2027 | Windows Hello for Business, macOS Platform SSO, Passkey ו-Passwordless ב-Microsoft Authenticator |
בארגונים שמשתמשים ב-Security Defaults, החוויה הזו נכנסת בינואר-פברואר 2027.
למה זה חשוב
הבעיה היא לא ה-Passkey, שהוא שיטת האימות החזקה ביותר שיש היום. הבעיה היא הרגע שבו נרשמים אליו. אם הסיסמה של משתמש שעוד לא רשום ל-MFA דלפה, בפישינג או ברשימת סיסמאות שנחשפה, תוקף יכול להתחבר איתה ולרשום Passkey במכשיר שלו.
Passkey לא תלוי בסיסמה. לכן איפוס סיסמה, הצעד הראשון שעושים כשחושדים בפריצה, לא מוציא את התוקף: ה-Passkey שלו ממשיך לעבוד עד שמוחקים אותו מהחשבון.
חשוב לדייק: הפרצה הזו קיימת כבר היום. גם לפני השינוי, תוקף עם סיסמה של משתמש בלי MFA יכול היה לרשום SMS או אפליקציה משלו. השינוי מוסיף עוד דרך, ולכן זה זמן טוב לסגור את הפרצה כולה.
מה לבדוק
- מוצאים משתמשים בלי MFA. בדוח User registration details ב-Microsoft Entra מסננים משתמשים פעילים שאין להם שיטת אימות רשומה. אלה בדיוק המשתמשים שהשינוי נוגע בהם. משלימים להם רישום בצורה מבוקרת, או משביתים חשבונות שלא בשימוש.
- מחייבים MFA לרישום שיטות אימות, מכל מיקום. יוצרים מדיניות Conditional Access על הפעולה Register security information, לכל המשתמשים מסוג Member, שמחייבת MFA בכל מיקום. במדריך של מיקרוסופט מוחרגים מיקומים מהימנים, אבל אנחנו ממליצים לא להחריג: גם במשרד, סיסמה שדלפה לא אמורה להספיק לרישום. מחריגים רק את חשבונות החירום (break-glass), ומתחילים ב-Report-only.
- מנפיקים Temporary Access Pass לעובדים חדשים. לעובד חדש עדיין אין שיטת אימות, ולכן הוא לא יכול לעמוד בדרישת ה-MFA. Temporary Access Pass הוא קוד זמני שמנהל מנפיק, והוא עומד בדרישת ה-MFA: העובד נכנס איתו ורושם Passkey, בלי שהסיסמה לבדה תספיק. TAP לא עובד למשתמשים אורחים, ולכן המדיניות מוגדרת למשתמשים מסוג Member בלבד.
רוצים לבדוק את ההגדרות האלה בסביבה שלכם? ב-OnCloud אנחנו עוזרים לארגונים להגדיר רישום מאובטח ל-MFA ולעבור ל-Passkeys בצורה מסודרת.
קביעת פגישה