Kompletny przewodnik po uwierzytelnianiu bez hasła w Microsoft 365

By Mirko Peters · 2026-08-27

Witajcie ponownie, słuchacze i czytelnicy! Jeśli słuchaliście naszego najnowszego odcinka podcastu, wiecie, że zagłębiliśmy się w jeden z najbardziej palących tematów cyberbezpieczeństwa naszych czasów…

Automatically translated with AI from the original post. Read the English original

Witajcie ponownie, słuchacze i czytelnicy! Jeśli słuchaliście naszego najnowszego odcinka podcastu, wiecie, że zagłębiliśmy się w jeden z najpilniejszych tematów cyberbezpieczeństwa naszych czasów: wyeliminowanie tradycyjnego hasła. W tym towarzyszącym wpisie blogowym rozwiniemy tamtą rozmowę i засучymy rękawy, aby przedstawić wszechstronny, bardzo praktyczny plan stopniowego wycofywania haseł w całej organizacji, wykorzystując potężne nowoczesne narzędzia zabezpieczeń wbudowane w Microsoft 365.

Przyznajmy otwarcie: hasła są zasadniczo zawodne. Rok po roku wycieki danych potwierdzają, że skradzione, słabe lub powtórnie używane poświadczenia pozostają głównym wektorem cyberataków. Kampanie phishingowe stały się tak wyrafinowane, że nawet najbardziej świadomi bezpieczeństwa pracownicy od czasu do czasu im ulegają. Nadeszła era modelu Zero Trust. W architekturze Zero Trust działamy zgodnie z zasadą „nigdy nie ufaj, zawsze weryfikuj”. Nie da się osiągnąć prawdziwego podejścia Zero Trust, polegając na tajnym ciągu znaków, który użytkownicy zapisują na karteczkach, powtórnie wykorzystują na różnych stronach albo łatwo przekazują sprytnemu atakującemu na podrobionej stronie logowania.

Na szczęście Microsoft 365 oferuje solidny zestaw metod uwierzytelniania bez hasła. Przechodząc w organizacji od haseł, znacząco zmniejszasz powierzchnię ataku, eliminujesz kradzież poświadczeń i – co ironiczne – poprawiasz doświadczenia użytkowników. Koniec z resetowaniem haseł pochłaniającym czas zespołu helpdesk i koniec z sfrustrowanymi pracownikami zablokowanymi na kontach w poniedziałkowe poranki. Przyjrzyjmy się zestawowi narzędzi i zobaczmy, jak wdrożyć bezproblemowe, bezhasłowe przedsiębiorstwo.

Poznajemy zestaw narzędzi do uwierzytelniania bez hasła w Microsoft 365

Zanim zagłębimy się w strategie wdrożenia, przyjrzyjmy się narzędziom w naszym arsenale. Microsoft Azure Active Directory (obecnie znany jako Microsoft Entra ID) obsługuje kilka podstawowych mechanizmów uwierzytelniania bez hasła. Każdy z nich odpowiada nieco innemu profilowi użytkownika, stanowi urządzenia i przypadkowi biznesowemu.

Po pierwsze, mamy Windows Hello dla firm. To złoty standard dla dedykowanych firmowych urządzeń z systemem Windows. Zastępuje hasła silnym uwierzytelnianiem dwuskładnikowym, na które składa się poświadczenie powiązane z konkretnym urządzeniem oparte na danych biometrycznych (takich jak odcisk palca lub rozpoznawanie twarzy) albo kodzie PIN. Klucz prywatny nigdy nie opuszcza sprzętu urządzenia, dzięki czemu jest odporny na wycieki po stronie serwera.

Po drugie, mamy klucze zabezpieczeń FIDO2 i klucze dostępu (passkeys). Są to tokeny sprzętowe (jak YubiKey) lub klucze dostępu oparte na platformie, które wykorzystują otwarte standardy opracowane przez FIDO Alliance. Z założenia są odporne na phishing, ponieważ mechanizm kryptograficznego wyzwania i odpowiedzi gwarantuje, że poświadczenie może zostać użyte wyłącznie w domenie, dla której zostało zarejestrowane. Jeśli użytkownik trafi na witrynę phishingową, klucz odmawia podpisania żądania.

Po trzecie, mamy aplikację Microsoft Authenticator. W organizacjach z pracownikami pracującymi głównie na urządzeniach mobilnych, w scenariuszach BYOD (Bring Your Own Device) lub w środowiskach hybrydowych dopasowywanie liczb w aplikacji Authenticator zapewnia wygodne powiadomienia push, które wymuszają bezpieczne i szybkie potwierdzenie tożsamości użytkownika.

Na koniec mamy tymczasową przepustkę dostępu (Temporary Access Pass, TAP). Choć nie jest to metoda logowania na co dzień, TAP jest kluczowym pomostem, który pozwala wdrażać nowych użytkowników, odzyskiwać zablokowane konta lub konfigurować nowy sprzęt bez konieczności wydawania tymczasowego, niebezpiecznego starego hasła.

Wdrażanie Windows Hello dla firm w firmowych punktach końcowych

Jeśli Twoja organizacja w dużym stopniu opiera się na urządzeniach z systemami Windows 10 i Windows 11, Windows Hello dla firm (WHfB) powinien być fundamentem Twojej drogi do uwierzytelniania bez hasła. Wdrożenie WHfB wymaga starannego planowania w zakresie urzędów certyfikacji oraz modeli zaufania do chmury lub klucza, ale korzyści są ogromne.

Podczas wdrażania WHfB masz do wyboru dwa główne modele wdrożenia: Cloud Trust i Hybrid Key Trust. Dla nowoczesnych organizacji stawiających na chmurę model Microsoft Entra Cloud Trust to prawdziwa zmiana reguł gry. Upraszcza on architekturę wdrożenia, eliminując zależność od synchronizacji infrastruktury klucza publicznego (PKI) z kontrolerami domeny. Uwierzytelnianie odbywa się bezpośrednio w chmurze, z wykorzystaniem rozszerzeń protokołu Kerberos.

Aby zacząć, skonfiguruj zasady Windows Hello for Business w Microsoft Intune. Przejdź do zasad zabezpieczeń punktów końcowych i upewnij się, że ustawione są wymagania dotyczące złożoności kodu PIN, włączone są metody biometryczne, a funkcje zapobiegania spoofingowi są aktywne tam, gdzie obsługuje je sprzęt urządzenia. Zastanów się też, czy użytkownicy mają być zobowiązani do korzystania ze sprzętowego modułu bezpieczeństwa (TPM 2.0 jest wymagany dla zabezpieczeń klasy korporacyjnej).

Podczas wdrażania komunikuj się z użytkownikami w sposób jasny. Wyjaśnij, że ich kod PIN do systemu Windows jest ściśle powiązany z fizycznym laptopem i nie może zostać przechwycony w sieci. Gdy użytkownicy przekonają się, że logowanie do komputera za pomocą rozpoznawania twarzy lub szybkiego kodu PIN, który odblokowuje bezpieczny sprzętowy enklawę, jest proste, nigdy więcej nie będą chcieli wpisywać złożonego, 16-znakowego hasła alfanumerycznego.

Wykorzystanie kluczy zabezpieczeń FIDO2 i kluczy dostępu (passkeys)

Windows Hello for Business świetnie sprawdza się na urządzeniach z systemem Windows, ale co z użytkownikami komputerów Mac, programistami Linuksa, stanowiskami współdzielonymi czy pracownikami, którzy przechodzą między wieloma urządzeniami? Właśnie tutaj klucze zabezpieczeń FIDO2 i klucze dostępu błyszczą najbardziej.

Klucze FIDO2 stanowią szczyt uwierzytelniania odpornego na phishing. Ponieważ protokół uwierzytelniania korzysta z kryptografii klucza publicznego, poświadczenie przechowywane na kluczu zabezpieczeń nie może zostać wyłudzone, skradzione w ataku typu man-in-the-middle ani pozyskane z wycieku bazy danych. Gdy użytkownik podłączy klucz zabezpieczeń USB (lub przyłoży go w technologii NFC) i dotknie czujnika, do Microsoft Entra ID wysyłane jest potwierdzenie kryptograficzne.

Wdrożenie kluczy FIDO2 wymaga włączenia tej funkcji w zasadach metod uwierzytelniania Microsoft Entra. Zasady te możesz ograniczyć do wybranych grup pilotażowych, na przykład zaczynając od administratorów IT i kadry kierowniczej, a dopiero potem rozszerzając je na całą organizację. Kluczowe jest wymuszenie wymagań dotyczących rejestracji, tak aby użytkownicy rejestrowali swoje klucze, będąc jeszcze w bezpiecznym środowisku firmowym, lub w ramach zweryfikowanego procesu wdrożenia.

Warto też przyjrzeć się kluczom dostępu platformy (platform passkeys), zintegrowanym z systemami operacyjnymi takimi jak iOS, Android i macOS. Pozwalają one użytkownikom korzystać z wbudowanych czujników biometrycznych telefonu (FaceID, TouchID lub biometria Androida), aby bezpiecznie logować się do usług Microsoft 365 w różnych przeglądarkach i na różnych urządzeniach. Stanowią pomost między tokenami sprzętowymi a codzienną wygodą.

Mobilny dostęp w pierwszej kolejności dzięki Microsoft Authenticator

Nie każdy pracownik w Twojej organizacji siedzi przy biurku z dedykowanym laptopem lub kluczem zabezpieczeń sprzętowych. Pracownicy pierwszej linii, technicy terenowi i personel kontraktowy często działają w środowiskach nastawionych na urządzenia mobilne. Dla tych użytkowników aplikacja Microsoft Authenticator jest najlepszym narzędziem do uwierzytelniania bez hasła.

Aby przenieść Microsoft Authenticator w stan bez hasła, musisz skonfigurować logowanie telefonem. Po jego włączeniu użytkownik wpisuje nazwę użytkownika, a zamiast monitu o hasło na jego urządzenie mobilne wysyłane jest powiadomienie. Aplikacja Authenticator prosi użytkownika o wpisanie pasującego numeru wyświetlanego na ekranie logowania, a następnie o potwierdzenie biometryczne (FaceID, odcisk palca lub kod PIN).

To rozwiązanie całkowicie eliminuje ryzyko ataków typu push-fatigue, czyli sytuacji, w której złośliwi użytkownicy zalewają ofiarę niekończącymi się powiadomieniami push, aż ta w końcu przypadkowo zatwierdzi jedno z nich. Dzięki dopasowywaniu numerów użytkownik *musi* spojrzeć na ekran logowania, odczytać numer i wpisać go w telefonie. Jeśli to nie on próbuje się zalogować, wystarczy, że dotknie „To nie ja”, co może uruchomić zautomatyzowane zasady ryzyka w Microsoft Entra ID, które zablokują atakującego i oznaczą konto.

Wdrażając Microsoft Authenticator do bezhasłowego dostępu, upewnij się, że egzekwowane są zasady zabezpieczeń na poziomie urządzenia. Powinieneś wymagać blokady aplikacji w samym Authenticatorze oraz zadbać o to, aby urządzenie mobilne było zarządzane przez Microsoft Intune lub chronione zasadami dostępu warunkowego wymagającymi zgodnych wersji systemu operacyjnego.

Zarządzanie wdrażaniem i odzyskiwaniem dostępu za pomocą tymczasowego kodu dostępu (Temporary Access Pass, TAP)

Jednym z najczęstszych wahań organizacji rozważających strategię bezhasłową jest dylemat wdrożeniowy typu „jajko czy kura”. Jak uwierzytelnić nowo zatrudnionego pracownika, który nie ma jeszcze klucza bezpieczeństwa, zarejestrowanego telefonu ani kodu PIN usługi Windows Hello? Tradycyjnie organizacje wydawały tymczasowe, łatwe do odgadnięcia hasło początkowe. Tworzyło to jednak podatne na ataki okno czasowe już na samym początku cyklu życia pracownika.

Oto Temporary Access Pass (TAP). TAP to ograniczona czasowo metoda uwierzytelniania oparta na kodach dostępu, którą można skonfigurować w Microsoft Entra ID, aby umożliwić użytkownikom rejestrację bezhasłowych metod uwierzytelniania. TAP można użyć jednorazowo (lub wielokrotnie, jeśli skonfigurowano go dla określonych scenariuszy migracji), ma ściśle określony czas ważności – od kilku minut do kilku godzin – i może zostać bezpiecznie wygenerowany przez administratora lub dział pomocy technicznej.

Przejdźmy przez rzeczywisty scenariusz wdrożenia nowego pracownika z wykorzystaniem TAP:

• Dział HR uruchamia proces przyjęcia nowego pracownika, a dział IT tworzy konto użytkownika w Microsoft Entra ID.
• Administrator generuje Temporary Access Pass z czasem wygaśnięcia wynoszącym 1 godzinę i bezpiecznie przekazuje go nowemu pracownikowi kanałem pozapasmowym (na przykład bezpieczną wiadomością tekstową lub zaszyfrowanym portalem wdrożeniowym).
• Nowy pracownik loguje się na swoim nowym laptopie lub w przeglądarce, używając *wyłącznie* TAP.
• Ponieważ TAP spełnia wymagania silnego uwierzytelniania, użytkownik natychmiast otrzymuje monit o zarejestrowanie trwałych poświadczeń bezhasłowych, na przykład o skonfigurowanie Windows Hello for Business, zarejestrowanie klucza FIDO2 lub dodanie aplikacji Microsoft Authenticator.
• Po zarejestrowaniu TAP wygasa, a użytkownik od pierwszego dnia pracuje w pełni bez hasła.

TAP jest równie przełomowy w odzyskiwaniu konta. Jeśli pracownik zgubi klucz bezpieczeństwa lub dostanie nowy telefon, dział pomocy technicznej nie musi wydawać zapasowego hasła. Wystarczy wygenerować TAP, aby użytkownik mógł bezpiecznie się uwierzytelnić i samodzielnie skonfigurować nowe urządzenie lub token.

Najlepsze praktyki budowania kompleksowej strategii bezhasłowej

Przejście całego przedsiębiorstwa od haseł nie jest operacją wykonywaną jednym przełącznikiem; wymaga strategicznego, etapowego wdrożenia. Jak omawialiśmy w podcaście, zarządzanie zmianą i egzekwowanie zasad są równie ważne jak sama technologia. Oto podstawowe najlepsze praktyki, które mają zapewnić, że Twoja droga do bezhasłowości zakończy się pełnym sukcesem.

1. Przyjmij etapowe podejście do wdrożenia

Nie próbuj wdrażać bezhasłowości w całej firmie naraz w jeden weekend. Zacznij od zespołów IT i bezpieczeństwa. Rozumieją technologię, potrafią rozwiązywać nietypowe przypadki i pełnią rolę wewnętrznych ambasadorów. Następnie wdróż rozwiązanie w kierownictwie i w jednostkach biznesowych, które są biegłe technologicznie. Gdy usuniesz problemy operacyjne, rozszerz wdrożenie na zwykłych pracowników biurowych, a na końcu zajmij się pracownikami frontline oraz środowiskami wyspecjalizowanej produkcji.

2. Mądrze wykorzystuj zasady Conditional Access

Zasady bezhasłowe muszą być ściśle zintegrowane z Microsoft Entra Conditional Access. Twórz zasady wymagające odpornych na phishing metod uwierzytelniania dla dostępu do wrażliwych aplikacji w chmurze, a w okresie przejściowym dopuszczaj tymczasowo starsze metody dla aplikacji o niższym ryzyku. Stosuj kontrolki sesji, aby ograniczać czas trwania sesji i wymuszać ponowne uwierzytelnienie, gdy sygnały ryzyka się nasilają.

3. Mocno inwestuj w edukację użytkowników i zarządzanie zmianą

Zmiany technologiczne kończą się niepowodzeniem, gdy pomija się w nich ludzi. Użytkownicy są przyzwyczajeni do haseł; używają ich od dziesięcioleci. Musisz wyjaśnić, *dlaczego* wprowadzasz tę zmianę. Przedstawiaj uwierzytelnianie bezhasłowe nie jako nakaz działu IT, lecz jako środek ochronny, który ułatwia im pracę: koniec z zapominaniem skomplikowanych haseł, koniec z wymuszaną co kwartał zmianą haseł i błyskawiczne logowanie.

4. Planuj rozwiązania awaryjne i przypadki brzegowe

Zawsze zakładaj, co się stanie, gdy coś pójdzie nie tak. Co, jeśli użytkownik zniszczy telefon w podróży służbowej? Co, jeśli klucz bezpieczeństwa wpadnie do kałuży? Ustal jasne, bezpieczne procedury oparte na Temporary Access Pass oraz sprawdzone protokoły weryfikacji tożsamości w dziale pomocy technicznej, aby użytkownicy mogli szybko odzyskać dostęp, nie narażając bezpieczeństwa organizacji.

Łącząc Windows Hello for Business, klucze zabezpieczeń FIDO2, Microsoft Authenticator oraz Tymczasowe przepustki dostępu, możesz wreszcie zamknąć rozdział przestarzałej, podatnej na ataki ery haseł. Narzędzia są gotowe, architektura sprawdzona, a korzyści dla bezpieczeństwa nie budzą wątpliwości. Czas wkroczyć w świat prawdziwego modelu Zero Trust, bez haseł.

Dziękujemy za lekturę! Jeśli jeszcze nie subskrybujesz podcastu, koniecznie to zrób, udostępnij ten wpis swojemu zespołowi ds. bezpieczeństwa i śledź kolejny odcinek, w którym zajmiemy się zaawansowanym polowaniem na zagrożenia w usłudze Microsoft Defender!