Implementieren Sie die Zwei-Faktor-Authentifizierung von Azure AD für Benutzer

Kürzlich wurde das Konto eines Benutzers eines meiner Kunden kompromittiert. Da der Benutzer ein schwaches Passwort hatte (Name der örtlichen Fußballmannschaft gefolgt von einer fortlaufenden Nummer), wurde sein Konto durch einen Passwort-Spray-Angriff kompromittiert.

Eine Möglichkeit (von vielen), dies zu vermeiden, ist die Verwendung der Multi-Faktor-Authentifizierung (MFA). Neben einem regulären Benutzernamen und Passwort verwendet MFA eine weitere Authentifizierungsoption, z. B. eine Textnachricht, eine App auf Ihrem Mobilgerät oder ein „App-Passwort“, wenn die beiden anderen Optionen aus irgendeinem Grund nicht verwendet werden können.

Hinweis. MFA ist in drei Versionen verfügbar. Es gibt eine MFA für Administratorkonten (MFA für Administratorkonten), eine Vollversion als Teil des Azure AD Premium-Abonnements und eine vereinfachte Version als Teil aller Office 365-Geschäftsabonnements namens Multi-Factor Authentication for Office 365. Diese Version kann kann nur mit Office 365-Diensten verwendet werden und ist diejenige, die ich für diesen Blog verwendet habe.

MFA-Anforderungen

Bevor Sie mit der Implementierung von MFA in Ihrer Umgebung beginnen, stellen Sie sicher, dass Ihr Office 365-Mandant und Ihre Geräte die folgenden Kriterien erfüllen.

Office 2016-Clients unterstützen MFA nativ mithilfe der Active Directory Authentication Library (ADAL), das Gleiche gilt für Browser. Nicht bei allen Office 365-Mandanten ist die ADAL-Funktionalität standardmäßig aktiviert, insbesondere bei den älteren Mandanten nicht. Um zu überprüfen, ob Ihre Mandanten dies unterstützen, öffnen Sie die Exchange-Verwaltungsshell für Exchange Online und geben Sie den folgenden Befehl ein:

Get-OrganizationConfig | Name der Formattabelle, *OAuth*

Wenn es „False“ zurückgibt, wie im Screenshot unten gezeigt (ich habe einen älteren Mandanten), können Sie den folgenden Befehl verwenden, um es auf Organisationsebene zu aktivieren:

Set-OrganizationConfig -OAuth2ClientProfileEnabled:$true

Dasselbe sollte auch für Skype for Business Online-Kunden gelten. Um die ADAL-Unterstützung in Ihrem Mandanten zu überprüfen, öffnen Sie einen Skype for Business Online PowerShell-Befehl und führen Sie den folgenden Befehl aus:

Get-CsOAuthConfiguration | *Kunde* auswählen

Wenn es nicht aktiviert ist (wie im folgenden Screenshot gezeigt), können Sie es mit dem folgenden Befehl aktivieren:

Set-CsOAuthConfiguration -ClientAdalAuthOverride Zulässig

Für ältere Apps oder Apps, die MFA über ADAL nicht unterstützen, können Sie ein AppPassword verwenden. Dabei handelt es sich um ein spezielles Passwort, speziell für das Gerät, an dem Sie arbeiten. Sie können das AppPassword nur auf diesem bestimmten Gerät verwenden und nicht auf einem anderen Gerät. Für andere Geräte benötigen Sie ein zusätzliches AppPassword. Wenn Sie MFA zum ersten Mal auf einem Gerät verwenden, wird ein AppPassword erstellt, das später in diesem Blog gezeigt wird.

Für mobile Geräte empfehle ich dringend, den Microsoft Authenticator zu installieren, um Ihnen die Authentifizierung etwas zu erleichtern. Die MFA-Informationen werden auf diesem bestimmten Gerät gespeichert und sind nur auf diesem bestimmten Computer verfügbar. Der Microsoft Authenticator ist über den App Store auf Ihrem Gerät verfügbar.

Aktivieren Sie MFA

Um MFA für Cloud-Konten zu aktivieren, öffnen Sie das Microsoft Online Portal (https://portal.office.com) und melden Sie sich mit dem Mandantenadministratorkonto an. Wählen Sie „Aktive Benutzer“ aus, aber bevor Sie einen Benutzer auswählen, klicken Sie auf das Dropdown-Feld „Mehr“ und wählen Sie „Multifaktor-Authentifizierungs-Setup“ aus, wie im folgenden Screenshot gezeigt:

Wählen Sie im nächsten Fenster den Benutzer aus, für den Sie MFA aktivieren möchten, und klicken Sie im rechten Bereich auf Aktivieren. Klicken Sie im Bestätigungsfeld auf Multi-Faktor-Authentifizierung aktivieren.

Im selben Fenster können Sie auch die Diensteinstellungen ändern, wie unten gezeigt:

In den Diensteinstellungen können Sie Variablen ändern, z. B. ob Benutzer AppPasswords erstellen sollen oder nicht, welche Authentifizierungsoptionen verwendet werden können und den Zeitrahmen für die Speicherung von MFA-Authentifizierungen:

Stellen Sie sicher, dass das Optionsfeld Benutzern erlauben, App-Passwörter zu erstellen, um sich bei Nicht-Browser-Apps anzumelden aktiviert ist. Sehen Sie sich gleichzeitig die Option Benutzern erlauben, sich die Multi-Faktor-Authentifizierung auf Geräten zu merken, denen sie vertrauen an. Mit dieser Option können Sie die Anzahl der Tage festlegen, bevor der Benutzer erneut MFA zur Authentifizierung verwenden muss. In der Zwischenzeit ist das Gerät vertrauenswürdig und MFA ist nicht erforderlich.

Nutzen Sie MFA für Ihre Kunden

Nachdem Sie MFA aktiviert und sich beispielsweise bei OWA angemeldet haben, wird ein zusätzliches Popup angezeigt, in dem zusätzliche Informationen abgefragt werden. Die Mobiltelefonnummer ist bereits im Active Directory und somit vorbelegt und es wird eine SMS an diese Nummer gesendet.

Nach Eingabe des Validierungscodes sind Sie offiziell angemeldet. Der letzte Schritt besteht darin, dass ein AppPassword angezeigt wird. Sie können dieses AppPassword auf diesem Gerät für Anwendungen verwenden, die Microsoft MFA (über ADAL) nicht unterstützen.

Beim Start von Outlook 2016 wird ein zusätzliches Popup angezeigt, in dem der Validierungscode eingegeben werden muss. Da die MFA 30 Tage lang gespeichert wird, wird sie in den kommenden 4 Wochen (und zwei Tagen ?) nicht mehr angezeigt.

Das Gleiche gilt für OneDrive for Business- und Skype for Business-Clients, sie müssen sich ebenfalls authentifizieren. Mein Arbeitslaptop ist mit Azure AD verbunden. Der Vorteil besteht darin, dass ich mich nur einmal anmelden und die SMS-Authentifizierung nur einmal eingeben muss, da beide Token auf dem Gerät gespeichert sind.

Wenn Sie MFA wie unten gezeigt aktivieren, wird es auch auf Mobilgeräten erzwungen. Ich habe ein iPhone mit iOS 12.2 und dieses unterstützt MFA nativ. Wenn das Gerät das nächste Mal authentifiziert werden muss (kann nach der Aktivierung von MFA einige Zeit dauern), wird ein Validierungscode an das Gerät gesendet. Dies kann etwas schwierig sein, da Sie diesen Code auf dem Gerät selbst eingeben müssen. Der Microsoft Authenticator (oder ein beliebiger Authentifikator) kann Ihnen hier helfen, insbesondere wenn Sie mehrere Profile mit mehreren (MFA-fähigen) Postfächern haben.

In den nächsten 30 Tagen (oder dem von Ihnen eingegebenen Zeitrahmen) erhalten Sie keine MFA-Validierungsaufforderung, es sei denn, Sie ändern das Passwort. Dann wird die MFA ausgelöst und Sie müssen sich erneut authentifizieren. Denken Sie daran, dass das Token auf dem lokalen Gerät gespeichert ist. Wenn Sie also Ihre E-Mails auf einem anderen Gerät abrufen möchten, müssen Sie auch auf diesem Gerät eine Authentifizierung per MFA durchführen. Und das ist es, was die Bösewichte in Nigeria frustrieren wird (der Screenshot unten zeigt, wo sich unser Angreifer versteckt hat), da sie keinen Zugriff auf Ihr Gerät haben. Sie sollten also selbst mit einem schwachen Passwort (immer noch nicht empfohlen!) viel sicherer sein.

Zusammenfassung

Sie können die Multi-Faktor-Authentifizierung als zusätzliche Maßnahme gegen Hacker verwenden, die Benutzeranmeldeinformationen verwenden möchten, um auf Ihre Umgebung zuzugreifen. Da eine zusätzliche Authentifizierungsmethode erforderlich ist, ist es für die Angreifer viel schwieriger, Zugriff auf Ihre Umgebung zu erhalten. Da sie keinen Zugriff auf das Mobilgerät haben, ist ein Missbrauch des Postfachs kaum ausgeschlossen.

Der nächste logische Schritt wäre die Einführung einer passwortlosen Authentifizierung, aber das ist für einen zukünftigen Blog gedacht ?

Mehr Informationen