Microsoft Authenticator to aplikacja mobilna na iOS i Android służąca jako drugi czynnik uwierzytelniania przy logowaniu do Microsoft 365, Azure i tysięcy aplikacji SaaS obsługujących TOTP lub uwierzytelnianie push. Dla firm wdrażających MFA Authenticator jest rekomendowaną metodą drugiego czynnika – jest bezpłatny, nie wymaga numeru telefonu i oferuje tryb passwordless (logowanie bez hasła przez biometrię telefonu). Aplikacja obsługuje nie tylko konta Microsoft, ale też Google, Facebook, GitHub i inne usługi TOTP, zastępując dedykowane aplikacje i klucze U2F dla różnych serwisów.
Push notification – najwygodniejsza metoda MFA
Przy logowaniu z użyciem push notification Authenticator, aplikacja wyświetla powiadomienie na telefonie z pytaniem o zatwierdzenie logowania – użytkownik zatwierdza jednym dotknięciem lub odciskiem palca bez wpisywania 6-cyfrowego kodu. Nowoczesny tryb Number Matching wymaga wpisania liczby widocznej na ekranie komputera w aplikacji, co zapobiega atakom fatigue (niechciane zatwierdzenia) przez atakujących wysyłających masowo powiadomienia push. Dodatkowy kontekst (lokalizacja IP i aplikacja) wyświetlany w powiadomieniu pozwala użytkownikowi rozpoznać podejrzane logowanie z nieznanej lokalizacji.
TOTP – kody jednorazowe dla starszych systemów
Dla usług nieobsługujących push notification (zewnętrzne API, starsze systemy) Authenticator generuje 6-cyfrowe kody TOTP (Time-based One-Time Password) zmieniające się co 30 sekund, zgodne ze standardem RFC 6238. Użytkownik odczytuje kod z aplikacji i wpisuje go w formularzu logowania. Authenticator zastępuje dedykowane tokeny sprzętowe RSA SecurID w wielu zastosowaniach, eliminując koszty zakupu i dystrybucji fizycznych tokenów dla pracowników. Backup kodów przez kopię zapasową konta Microsoft pozwala przywrócić wszystkie konta TOTP przy nowym telefonie.
Passwordless – logowanie bez hasła
Microsoft Authenticator obsługuje logowanie passwordless do kont Microsoft 365 – zamiast hasła, telefon zatwierdza logowanie biometrycznie (Face ID lub odcisk palca). Użytkownik wpisuje tylko login (e-mail), a aplikacja na telefonie pyta o biometrię lub PIN. Nie ma żadnego hasła do przejęcia phishingiem – bezpieczeństwo opiera się na kluczu kryptograficznym przechowywanm w bezpiecznym chipie telefonu i biometrii. Passwordless jest najwyższym poziomem ochrony konta dostępnym w Authenticator, rekomendowanym jako cel migracji dla wszystkich kont Microsoft 365.
Konfiguracja Authenticator w organizacji przez Intune
Dla firm z zarządzanymi telefonami Intune może wymusić instalację Microsoft Authenticator na urządzeniach Android i iOS jako wymaganej aplikacji zarządzanej. Polityki Intune konfigurują Authenticator do trybu firmowego (Work Account), wymagając dodatkowego PIN do aplikacji i szyfrowania danych konta w pamięci telefonu. Rejestracja urządzenia jako zaufanego w Azure AD (MFA Trust) po pierwszym logowaniu z aplikacją Authenticator ogranicza liczbę monitów MFA dla pracownika przy logowaniu ze służbowego telefonu, balansując bezpieczeństwo z wygodą użytkowania.
Obsługa wielu kont i korporacyjnych profili
Authenticator obsługuje wiele kont jednocześnie – konto Microsoft firmowe, prywatne konto Microsoft, konta Google, GitHub, Facebook i inne TOTP – w jednej aplikacji. Dla pracowników z profilem BYOD (prywatny telefon do pracy) to wygodne rozwiązanie bez potrzeby instalowania osobnych aplikacji dla kont prywatnych i służbowych. Corporate-owned devices (telefony firmowe zarządzane przez Intune) mogą mieć profil Authenticator skonfigurowany automatycznie przez Intune przy rejestracji urządzenia, eliminując ręczną konfigurację przez pracownika.
