In questo articolo Indice dei contenuti 3 sezioni
Microsoft ha rinnovato l’invito agli amministratori di Entra ID perché spostino gli utenti verso le passkey e verso altri metodi di accesso resistenti al phishing. La ragione è molto concreta e ha una scadenza precisa: a febbraio 2027 l’azienda dismetterà l’autenticazione tramite SMS e chiamata vocale. Le organizzazioni che non avranno completato il passaggio rischiano di ritrovarsi con dipendenti impossibilitati ad accedere ai propri account.
Il pensionamento riguarda soltanto gli scenari di autenticazione dei tenant aziendali di Microsoft Entra ID, quelli pensati per la forza lavoro. Restano fuori invece Azure AD B2C e Microsoft Entra External ID, ovvero i servizi dedicati alla gestione delle identità dei clienti. La distinzione non è un dettaglio da poco, perché a doversi muovere sono soprattutto i reparti IT che gestiscono l’accesso del personale interno. Una volta spento il vecchio sistema, infatti, SMS e telefonate non potranno più servire a completare l’autenticazione a più fattori né a entrare negli account.
Cosa succede dal 1° febbraio 2027
Per prepararsi al cambio gli amministratori possono scegliere tra diverse soluzioni. Ci sono le passkey, l’autenticazione con codice QR, le chiavi di sicurezza FIDO2 e gli altri metodi di accesso supportati dalla piattaforma. L’obiettivo è che ogni utente dell’organizzazione disponga di almeno uno strumento resistente al phishing prima che la transizione arrivi a regime.
In un aggiornamento pubblicato martedì nel Message Center di Microsoft 365, la società è stata piuttosto diretta: “L’autenticazione tramite SMS e voce fornita da Microsoft verrà ritirata a partire dal 1° febbraio 2027. Completate la migrazione prima dell’avvio della distribuzione per evitare di interrompere l’esperienza di accesso degli utenti”. Subito dopo arriva la spiegazione tecnica del perché. “SMS e voce sono vulnerabili al phishing e agli attacchi di SIM swap. Microsoft consiglia le passkey per una protezione più solida e resistente al phishing. È possibile anche migrare verso un altro metodo di autenticazione supportato oppure mantenere SMS e voce configurando un operatore di telecomunicazioni gestito dal cliente (CYOT) tramite il Microsoft Security Store”.
Come trovare gli account ancora legati al telefono
Già in un promemoria diffuso a settembre l’azienda aveva indicato uno strumento utile per fare ordine. Gli amministratori con il ruolo di Authentication Policy Administrator, Global Reader o Security Reader possono individuare gli utenti che usano ancora SMS o chiamate vocali grazie allo script PowerShell Entra SMS/Voice Policy Scanner. In questo modo diventa più semplice capire quanti account vanno effettivamente aggiornati.
Chi invece non può proprio rinunciare all’autenticazione basata sul telefono dovrà affidarsi a operatori di telecomunicazioni esterni, da configurare sempre attraverso il Microsoft Security Store. Si tratta della sola strada percorribile per conservare questi metodi una volta che Microsoft avrà smesso di offrirli in modo nativo.
Le passkey diventano la scelta predefinita
La spinta verso le passkey non nasce oggi. A luglio Microsoft aveva annunciato che queste credenziali sarebbero diventate l’esperienza di autenticazione predefinita per il servizio di identità aziendale Entra ID, con una distribuzione partita a settembre. “Man mano che la distribuzione raggiunge ciascuna organizzazione, gli utenti abilitati all’autenticazione tramite SMS o voce verranno automaticamente abilitati alle passkey e, la prossima volta che eseguiranno l’autenticazione a più fattori, verrà chiesto loro di registrarne una” aveva spiegato l’azienda.
Nella stessa comunicazione veniva già fissato il passo successivo. “Dopo questa transizione, il 1° febbraio 2027, Microsoft ritirerà la consegna tramite telecomunicazioni fornita da Microsoft per l’autenticazione via SMS e voce e non offrirà più SMS e voce come funzionalità nativa di Microsoft Entra”.
Il colosso di Redmond aveva del resto già fatto un primo passo ad agosto, eliminando l’accesso con SMS come primo fattore per i tenant di Microsoft Entra ID Free a causa dei rischi legati a phishing, frodi e compromissione degli account. Da allora questa opzione non viene più attivata nemmeno sui tenant di nuova creazione. Per chi deve pianificare il passaggio, Microsoft mette a disposizione una pagina di documentazione dedicata con indicazioni dettagliate sulla distribuzione e sulla gestione dell’autenticazione senza password resistente al phishing in Entra ID.
Fonte: TecnoAndroid