Perché il passwordless

Le password sono il punto debole più sfruttato: password spraying, phishing e attacchi Adversary-in-the-Middle (AiTM) puntano tutti a intercettare o indovinare un segreto condiviso. L’obiettivo del passwordless in Microsoft Entra ID è eliminare del tutto il segreto memorizzato, sostituendolo con una coppia di chiavi crittografiche in cui la chiave privata non lascia mai il dispositivo. Come Identity and Access Administrator gestisci questi metodi dalla Authentication methods policy, dove abiliti ogni metodo, ne definisci i target group e le opzioni.

I metodi passwordless

  • FIDO2 security key: chiave hardware esterna (USB/NFC/BLE) conforme allo standard WebAuthn/FIDO2. La chiave privata è custodita in un elemento sicuro e sbloccata con PIN o biometria locale. È la scelta per scenari shared workstation, kiosk o utenti senza dispositivo aziendale personale.
  • Passkey: è una credenziale FIDO2. Esistono due varianti fondamentali:
    • Device-bound passkey: la chiave privata resta legata a un singolo dispositivo (una security key hardware o Microsoft Authenticator su quel telefono). Non è esportabile né sincronizzabile.
    • Synced passkey: la chiave privata è sincronizzata via cloud (es. iCloud Keychain, Google Password Manager) tra i dispositivi dell’utente. Più comoda per il recupero, ma la superficie di fiducia si estende all’account cloud del provider.
  • Windows Hello for Business: sblocca con biometria o PIN una chiave protetta dal TPM del PC. È legato al dispositivo Windows e tipicamente provisionato durante l’enrollment.
  • Microsoft Authenticator passwordless (phone sign-in): approvazione push con number matching e context (posizione, app). È passwordless ma, attenzione, non offre la stessa resistenza al phishing (vedi sotto).

Perché FIDO2 e passkey sono phishing-resistant

FIDO2/WebAuthn lega la credenziale all’origin (il dominio) durante la registrazione. Al momento del sign-in, il browser firma una challenge solo se il dominio richiedente coincide con quello registrato. Un sito di phishing o un proxy AiTM che si frappone ha un dominio diverso: la firma semplicemente non parte. Inoltre non viaggia alcun segreto riutilizzabile, quindi non c’è nulla da intercettare o rigiocare.

Per questo Microsoft classifica come phishing-resistant MFA solo FIDO2/passkey, Windows Hello for Business e la certificate-based authentication (CBA). In Conditional Access puoi imporli con l’authentication strength predefinita “Phishing-resistant MFA”. Il push di Microsoft Authenticator, invece, pur essendo forte e passwordless, resta vulnerabile a scenari AiTM sofisticati e NON rientra in quella strength.

Temporary Access Pass (TAP)

Il Temporary Access Pass è un passcode a tempo limitato, generato dall’amministratore (o via SSPR/My Sign-Ins in alcuni scenari), pensato per due esigenze:

  • Bootstrap passwordless: un nuovo utente non ha ancora credenziali. Con il TAP effettua il primo sign-in e registra Windows Hello for Business, una FIDO2 key o una passkey in Authenticator, senza mai impostare una password.
  • Recovery: chi ha perso la security key o cambiato telefono usa il TAP per riottenere l’accesso e ri-registrare i metodi.

Nella policy configuri lifetime (default 1 ora, intervallo da 10 minuti a 30 giorni), l’opzione one-time use (monouso) contro multi-uso, e la lunghezza minima. Il TAP è esso stesso una credenziale MFA temporanea, ma è un ponte, non un metodo permanente né phishing-resistant.

Trappole tipiche d’esame

  • Serve MFA phishing-resistant per gli admin → risposta: FIDO2/passkey, Windows Hello for Business o CBA, imposti tramite authentication strength in Conditional Access. Il push di Microsoft Authenticator NON è accettato come phishing-resistant.
  • Onboarding di un nuovo dipendente senza password che deve registrare Windows Hello → risposta: Temporary Access Pass, non “resetta la password” né “invia OTP via SMS”.
  • Il TAP deve valere per un solo accesso di recupero → risposta: abilita l’opzione one-time use nella Authentication methods policy; un TAP multi-uso resterebbe valido per tutta la sua durata.
  • Postazioni condivise senza dispositivo personale → risposta: FIDO2 security key, portabile tra macchine, invece di Windows Hello (legato al singolo PC) o phone sign-in.
  • Distinzione passkey → device-bound resta sul dispositivo/hardware, synced si propaga via cloud: se il requisito è “credenziale non esportabile / massima assurance”, scegli device-bound (FIDO2 hardware o Authenticator), non la synced passkey.