Microsoft erzwingt MFA

[riversource]

Wenn Kennwörter und 2FA im selben System (Bitwarden) liegen, dann hebelt man die 2FA defakto aus.

So weit würde ich nicht gehen. Man schützt sich immer noch vor Brute-Force Attacken, der häufigsten Ursache für Konto-Einbrüche.

 

[h00bi]

Was vlt sinnvoll wäre der Einsatz einer 2FA um auf den Bitwarden Tresor zuzugreifen.

Bitwarden unterstützt 2FA per Emailcode.

Bitwarden hab ich ja auch bereits genannt, aber ich halte das nicht für sehr sicher.

Nicht sehr sicher ist, wegen solchen Lappalien auf 2FA zu verzichten.

 

[Drewkev]

Die Mail von Microsoft beinhaltet tatsächlich die Aktivierung von MFA für alle Nutzer. Will man das nicht, muss man den bedingten Zugriff einrichten (benötigt einen Azure Plan).

Was für eine Mail? Uns ist dahingehend nichts bekannt, höchstens für Admins wie bereits angesprochen wurde.

 

[Tamron]

Das ist der Blogpost von Microsoft dazu:
https://techcommunity.microsoft.com...-require-mfa-for-all-azure-users/ba-p/4140391

Da ist eine Baseline ist, wird man diese ja auch ausschalten können. So funktioniert es ja auch bei der Baseline für Global Admins,

 

[h00bi]

Okay, beginn des Rollout im Juli laut Blogpost.
Als offizielles Announcement würde ich das nicht betrachten.

Aber wie gesagt, ich find's gut dass man das forciert.

 

[riversource]

Was für eine Mail?

Diese Mail:

Die Einstellung für die Sicherheitsstandards für Ihren [...] Mandanten wird von Mittwoch, 29. Mai 2024 aktiviert​

Sie erhalten diese E-Mail, da Sie ein globaler Administrator für [...] sind, was Legacy-Authentifizierungsprotokolle verwendet.

Im Rahmen der laufenden Bemühungen zur Verbesserung der Sicherheitaktivieren wir die Sicherheitsstandardeinstellung in Ihrem Mandanten, die mehrstufige Authentifizierung enthält, und mehr als 99,9 % der Identitätsangriffe blockieren kann. 

Wenn Sie sich zwischen Mittwoch, 1. Mai 2024 und Mittwoch, 29. Mai 2024 bei Ihrem Konto anmelden, wird eine Meldung angezeigt, in der Sie aufgefordert werden, proaktiv die Sicherheitsstandards zu aktivieren. Wenn Sie sich nach Ablauf dieses Zeitrahmens nicht angemeldet oder diese Einstellung aktiviert haben, wird sie automatisch für Sie aktiviert.

Die von Ihnen verwendeten Legacy-Authentifizierungsprotokolle sind weniger sicher als moderne Protokolle und erleichtern Angreifern das Erfassen von Anmeldeinformationen. Diese Legacyprotokolle blockieren normalerweise die Aktivierung von Sicherheitsstandards. Wir haben jedoch spezielle Ausnahmen angewendet, damit Sie weiterhin Legacy-Authentifizierungs-Apps verwenden können während Sie die mehrstufige Authentifizierung für alle anderen Apps verwenden. Diese Ausnahmen gelten für Apps, die Sie einen Monat vor Freitag, 26. April 2024 verwendet haben.

Erforderliche Aktion​

Nachdem die Einstellung für die Sicherheitsstandards aktiviert wurde, muss sich jeder in Ihrer Organisation für die mehrstufige Authentifizierung registrieren. Um Verwirrung zu vermeiden, teilen Sie Ihren Benutzern bitte mit, was sie erwarten:

• Wenn sie sich anmelden, wird eine Aufforderung angezeigt, die Microsoft Authenticator App zu installieren und ein Konto dafür anzulegen. Sie können dies sofort tun oder auf später verschieben. Nach 14 Tagen wird die Option zum Zurückstellen jedoch ausgeblendet, und sie müssen sich für die mehrstufige Authentifizierung registrieren, bevor sie sich anmelden können.
• Sie müssen die Schritte zum Einrichten der Microsoft Authenticator-App zum Herunterladen der App auf ein mobiles Gerät befolgen und dann ihr Konto bei der App registrieren

Erfahren Sie mehr über die Sicherheitsstandardeinstellung. Wenn Sie Fragen haben oder Hilfe benötigen, Kontaktieren Sie den Support.

Kontoinformationen: [...]​

Also schon eine harte Deadline, und auch deutlich vor Juli. Die Mail kam einen Monat vor der Umstellung. Für Großunternehmen könnte die Frist knapp sein.

 

[Drewkev]

@Tamron @riversource
Danke euch, ich leite das mal direkt weiter.

 

[riversource]

Wie gesagt, die "Sicherheitsstandards" kann man einfach so aktivieren. Dann werden zwangsläufig alle Konten des Mandanten auf MFA umgestellt. Will man das nicht, kann man anstatt "Sicherheitsstandards" die "Bedingten Zugriffe" einrichten, da kann man dann einzelne Konten von dem Zwang ausnehmen, z.B. um einen Zugriff per SMTP zu erlauben. Aber dafür braucht man die Azure P1 Lizenz, oder Business Premium.

 

[Drewkev]

Also, wir haben mal unseren Partner von/für Microsoft (sowas wie ein Consultant) gefragt. Deren Antwort war sinngemäß, dass wir das wohl (zumindest vorerst) über den bedingten Zugriff umgehen werden. Gesagt wurde uns aber auch, dass das langfristig sehr wahrscheinlich alle User betreffen wird .. oder man zumindest davon ausgehen soll(te).

 

[Tamron]

Die Hälfte davon ist halt geraten.
MS hat keine mehr Informationen rausgehauen.

 

[Drewkev]

MS hat keine mehr Informationen rausgehauen.

Ganz ehrlich, als wäre das was Neues

 

[Tamron]

Hello everyone, my name is Naj Shahid and I am a product manager in Azure leading this initiative. I am sharing some information below that should help with your questions.

• Scope: All users signing into Azure portal, CLI, PowerShell, or Terraform to administer Azure resources are within the scope of this enforcement.
• Impact on end users: Students, guest users and other end-users will only be affected if they are signing into Azure portal, CLI, PowerShell or Terraform to administer Azure resources. This enforcement policy does not extend to apps, websites or services hosted on Azure. The authentication policy for those will still be controlled by the app, website or service owners.
• Exclusions: Service principals, managed identities, workload identities and similar token-based accounts used for automation are excluded. Microsoft is still gathering customer input for certain scenarios such as break-glass accounts and other special recovery processes.
• MFA Methods: All supported MFA methods are available for you to use.
• Exceptions: While there will be no opt-out, an exception process will be provided for cases where no workaround is available. Details for the exception process will be shared via official notifications.
• Timeline: Beginning July 2024, a gradual rollout of this enforcement for portal only will commence. Once we have completed the rollout for portal, a similar gradual rollout will start for CLI, PowerShell and Terraform. We understand the impact this enforcement could have on automated scripts using user identities and thus are prioritizing enforcement for Azure portal to provide additional time to adapt if needed.
• Communication: Microsoft will send detailed information and timelines through official emails and notifications with advanced notice to ensure customers are well informed and prepared. The purpose of this blog post was to generate awareness about this upcoming change and help you prepare for transition to multi factor authentication.

As Erin mentioned in the post above, don’t wait to set up MFA. Keep users and data safe by setting up MFA with the MFA wizard for Microsoft Entra. Microsoft recommends examining which Entra IDs are used with dev ops and API access to Azure Resource Manager. As needed, learn how to replace user identities with service principals and managed identities.

Sincerely,
Naj Shahid

Principal Product Manager
Microsoft Azure

Quelle:
https://techcommunity.microsoft.com...azure-users/bc-p/4143356/highlight/true#M6078

 

[Ranayna]

Ok... Dementsprechend aendert sich bei uns administrativ garnix, weil wir eh schon MFA fuer die Admins in Azure aktiv haben.
Fuer die User wird es dann spannend was als "Administer" zaehlt. Ein Office Form auszufuellen wohl kaum, aber was ist zB mit einem Teams Device Login?

 

[Tamron]

@Ranayna Verstehe deine Frage nicht.
Admins sind eine der 72 Entra ID Administratorrollen sowie die 100+ Azure Rollen.

 

[Ranayna]

Sorry, ich habe nur recht wenig Kontakt mit Azure. Unsere Firma ist noch relativ klassisch will ich es mal nennen aufgestellt, und das einzige was ich selber bei Microsoft online mache ist das Teams Admin Portal
Der Rest meiner Arbeit findet noch old-School on-Premises statt
Deswegen bin ich mir bei der Terminologie im Azure Umfeld nicht immer ganz sicher.