Token OATH TOTP per l’autenticazione su Azure AD MFA
La Multi Factor Authentication (MFA) è un sistema di autenticazione che dovrebbe essere attivato per ogni utente aziendale. Molti di questi però pongono delle obiezioni in quanto non sono disposti a installare un’app sul proprio smartphone personale o lasciare il numero di cellulare personale.
Da qualche tempo è disponibile su Azure AD un nuovo metodo di verifica del fattore di autenticazione: il token OATH TOTP.
Cos’è un token OATH TOTP?
OATH è un sistema di autenticazione e definisce gli standard aperti per la generazione password monouso. Il codice monouso può essere generato in un software oppure in un token fisico (hardware) e cambia ogni 30 o 60 secondi (Time-based One Time Password = TOTP).
Anche Azure AD supporta i token hardware come metodo di autenticazione in aggiunta alla password ovvero come metodo di verifica della MFA.
Un token fisico OATH TOTP diventa a tutti gli effetti un device aziendale, meno costoso di uno smartphone (modello base circa 20 €) e che può essere assegnato ad un utente.
La funzionalità su Azure è ancora in preview.
Agli utenti a cui verrà dato un token hardware servirà:
- una licenza M365 che comprenda Azure AD Premium P1 oppure P2;
- un token OATH TOTP hardware.
A chi invece implementerà la soluzione, invece servirà:
- il numero seriale di ogni token
- per ogni token serve avere la stringa di testo contenente il segreto pre-condiviso (Pre Shared Secret)
- decidere a chi assegnare ogni token
Come configurare MFA OATH Token su Azure AD
Di seguito i passaggi che l’amministratore IT dovrà fare per configurare i token hardware e associarli agli utenti.
1: attivazione MFA
Prima di tutto, l’utente o gli utenti a cui verrà assegnare un token, dovranno essere abilitati alla MFA.
2: creazione file CSV contenente utenti e dati token
Il passaggio successivo è la creazione di un file testuale in formato CSV, all’interno del quale vanno inseriti tutti i dettagli per associare uno specifico token ad uno specifico utente.
Colonne e dati specifici da inserire:
- upn: username dell’utente a cui verrà assegnato il token hardware;
- serial number: numero seriale del token;
- secret key: segreto pre-condiviso che ti viene fornito dal produttore una volta acquistato il token;
- time interval: intervallo di aggiornamento/validità del codice OTP (secondi)
- manufacturer: nome del produttore
- model: modello del token
3: Caricamento del file CSV in Azure AD
Sul portale di Azure, alla sezione:
- Azure AD –> Security –> MFA –> OATH Tokens
e selezionare il tasto Upload, caricando il file dello step precedente.
4: Attivazione token
A questo punto, basta cliccare su Activate.
Per verificare il token, bisogna premere il pulsante del token fisico, in modo che compaia il codice OTP sul suo display e inserirlo su Azure AD.
Esperienza utente
L’utente inserirà le sue credenziali (UPN e password) come sempre ma, anziché essere subito rediretto al portale Microsoft 365 comparirà una finestra in cui inserire il codice. Una volta inserito, l’utente potrà accedere ai dati e alle applicazioni aziendali, senza aver dovuto installare nessuna app sullo smartphone personale e senza aver dovuto registrare il proprio numero di telefono personale su Azure AD.
Il token è un semplice metodo di verifica, non un metodo di autenticazione primario. Infatti, a differenza dell’Authenticator o delle chiavette FIDO2, che sono metodi di autenticazione primari che possono essere usati in un contesto passwordless, la MFA con OATH token è un metodo di autenticazione secondario, ovvero può essere usato solo ed esclusivamente in aggiunta alla password come metodo di verifica, non sostituirla.
Le informazioni presenti in questo post, sono prese dall’articolo: New security solutions to help secure small and medium businesseAzure AD MFA con token OATH TOTP
