Poziom uwierzytelniania NIST 1 z identyfikatorem Entra firmy Microsoft

Artykuł
10/28/2023

National Institute of Standards and Technology (NIST) rozwija wymagania techniczne dla amerykańskich agencji federalnych wdrażających rozwiązania tożsamości. Organizacje muszą spełniać te wymagania podczas pracy z agencjami federalnymi.

Przed rozpoczęciem uwierzytelniania na poziomie 1 (AAL1) możesz przejrzeć następujące zasoby:

Omówienie aplikacji NIST: Omówienie poziomów AAL
Podstawy uwierzytelniania: Terminologia i typy uwierzytelniania
Typy wystawców uwierzytelnianych NIST: typy wystawców uwierzytelnianych
Listy AALS NIST: składniki AAL, metody uwierzytelniania entra firmy Microsoft i moduły trusted platform (TPM).

Dozwolone typy wystawców uwierzytelnionych

Aby osiągnąć AAL1, można użyć dowolnego jednoskładnikowego lub wieloskładnikowego uwierzytelniającego NIST.

Metoda uwierzytelniania Firmy Microsoft Entra	Typ wystawcy uwierzytelniającego NIST
Password	Zapamiętany wpis tajny
Telefon (SMS): niezalecane	Poza pasmem pojedynczego czynnika
Aplikacja Microsoft Authenticator (bez hasła)	Wieloskładnikowe poza pasmem
Certyfikat oprogramowania jednoskładnikowego	Oprogramowanie kryptograficzne jednoskładnikowe
Certyfikat oprogramowania wieloskładnikowego (chroniony numerEM PIN) Windows Hello dla firm za pomocą programowego modułu TPM	Oprogramowanie kryptograficzne wieloskładnikowe
Certyfikat chroniony sprzętem (smartcard/klucz zabezpieczeń/moduł TPM) Klucz zabezpieczeń FIDO 2 Windows Hello dla firm ze sprzętowymi modułami TPM	Sprzęt kryptograficzny wieloskładnikowy

Napiwek

Zalecamy wybranie co najmniej odpornych na wyłudzanie informacji uwierzytelniania AAL2. Wybierz uwierzytelnianie AAL3 w razie potrzeby ze względów biznesowych, standardów branżowych lub wymagań dotyczących zgodności.

Walidacja standardu FIPS 140

Wymagania weryfikatora

Microsoft Entra ID używa modułu kryptograficznego windows FIPS 140 Level 1 na potrzeby operacji kryptograficznych uwierzytelniania. W związku z tym jest to weryfikator zgodny ze standardem FIPS 140 wymagany przez agencje rządowe.

Opór man-in-the-middle

Komunikacja między oświadczeniem a identyfikatorem Entra firmy Microsoft odbywa się za pośrednictwem uwierzytelnionego, chronionego kanału, aby oprzeć się atakom typu man-in-the-middle (MitM). Ta konfiguracja spełnia wymagania odporności mitM dla AAL1, AAL2 i AAL3.