Microsoft Entra Id ile NIST kimlik doğrulayıcı güvence düzeyi 2

Makale
04/06/2024

Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), kimlik çözümleri uygulayan ABD federal kurumları için teknik gereksinimler geliştirmektedir. Federal kurumlarla çalışan kuruluşların bu gereksinimleri karşılaması gerekir.

Kimlik doğrulayıcı güvence düzeyi 2'yi (AAL2) başlatmadan önce aşağıdaki kaynakları görebilirsiniz:

NIST'ye genel bakış: AAL düzeylerini anlama
Kimlik doğrulamasıyla ilgili temel bilgiler: Terminoloji ve kimlik doğrulama türleri
NIST kimlik doğrulayıcı türleri: Doğrulayıcı türleri
NIC ACL'ler: AAL bileşenleri ve Microsoft Entra kimlik doğrulama yöntemleri

İzin verilen AAL2 kimlik doğrulayıcı türleri

Aşağıdaki tabloda AAL2 için izin verilen kimlik doğrulayıcı türleri vardır:

Microsoft Entra kimlik doğrulama yöntemi	NIST kimlik doğrulayıcı türü
Önerilen yöntemler
Çok Faktörlü Yazılım Sertifikası (PIN Korumalı) Yazılım Güvenilen Platform Modülü (TPM) ile İş İçin Windows Hello	Çok faktörlü şifreleme yazılımı
Donanım korumalı sertifika (akıllı kart/güvenlik anahtarı/TPM) FIDO 2 güvenlik anahtarı Donanım TPM ile İş İçin Windows Hello	Çok faktörlü şifreleme donanımı
Microsoft Authenticator uygulaması (Parolasız)	Çok faktörlü bant dışı
Ek yöntemler
Parola VE - Microsoft Authenticator uygulaması (Anında İletme Bildirimi) - OR - Microsoft Authenticator Lite (Anında İletme Bildirimi) - OR - Telefon (SMS)	Ezberlenmiş gizli dizi VE Tek faktörlü bant dışı
Parola VE - OATH donanım belirteçleri (önizleme) - OR - Microsoft Authenticator uygulaması (OTP) - OR - Microsoft Authenticator Lite (OTP) - OR - OATH yazılım belirteçleri	Ezberlenmiş gizli dizi VE Tek faktörlü OTP
Parola VE - Tek faktörlü yazılım sertifikası - OR - Microsoft Entra yazılım TPM ile katıldı - OR - Microsoft Entra hibrit yazılım TPM ile katıldı - OR - Uyumlu mobil cihaz	Ezberlenmiş gizli dizi VE Tek faktörlü şifreleme yazılımı
Parola VE - Donanım TPM'siyle birleştirilen Microsoft Entra - OR - Donanım TPM'siyle birleştirilen Microsoft Entra karma	Ezberlenmiş gizli dizi VE Tek faktörlü şifreleme donanımı

Not

Günümüzde Microsoft Authenticator tek başına kimlik avına karşı dayanıklı değildir. Microsoft Authenticator kullanırken dış kimlik avı tehditlerine karşı koruma elde etmek için, yönetilen cihaz gerektiren Koşullu Erişim ilkesini de yapılandırmanız gerekir.

AAL2 önerileri

AAL2 için çok faktörlü şifreleme donanımı veya yazılım doğrulayıcıları kullanın. Parolasız kimlik doğrulaması, en büyük saldırı yüzeyini (parola) ortadan kaldırır ve kullanıcılara kimlik doğrulaması için kolaylaştırılmış bir yöntem sunar.

Parolasız kimlik doğrulama yöntemi seçme konusunda rehberlik için bkz . Microsoft Entra Id'de parolasız kimlik doğrulaması dağıtımı planlama. Ayrıca bkz. İş İçin Windows Hello dağıtım kılavuzu

FIPS 140 doğrulaması

FIPS 140 doğrulaması hakkında bilgi edinmek için aşağıdaki bölümleri kullanın.

Doğrulayıcı gereksinimleri

Microsoft Entra Id, kimlik doğrulama şifreleme işlemleri için Windows FIPS 140 Düzey 1 genel olarak doğrulanmış şifreleme modülünü kullanır. Bu nedenle, kamu kurumları tarafından gereken FIPS 140 uyumlu bir doğrulayıcıdır.

Doğrulayıcı gereksinimleri

Kamu kurumu şifreleme kimlik doğrulayıcıları genel olarak FIPS 140 Düzey 1 için doğrulanır. Bu gereksinim, sivil toplum kuruluşları için değildir. Aşağıdaki Microsoft Entra kimlik doğrulayıcıları, Windows üzerinde FIPS 140 onaylı modda çalışırken gereksinimi karşılar:

Parola
Microsoft Entra yazılım veya donanım TPM ile katıldı
Yazılımla veya donanım TPM'siyle birleştirilen Microsoft Entra karma
Yazılım veya donanım TPM ile İş İçin Windows Hello
Yazılım veya donanımda depolanan sertifika (akıllı kart/güvenlik anahtarı/TPM)

Microsoft Authenticator uygulaması, iOS üzerinde FIPS 140 ile uyumludur. Android FIPS 140 uyumluluğu devam ediyor. Microsoft Authenticator tarafından kullanılan FIPS doğrulanmış şifreleme modülleri hakkında daha fazla bilgi için bkz. Microsoft Authenticator uygulaması

OATH donanım belirteçleri ve akıllı kartlarda geçerli FIPS doğrulama durumu için sağlayıcınıza danışmanızı öneririz.

FIDO 2 güvenlik anahtarı sağlayıcıları, FIPS sertifikasının çeşitli aşamalarındadır. Desteklenen FIDO 2 anahtar satıcılarının listesini gözden geçirmenizi öneririz. Geçerli FIPS doğrulama durumu için sağlayıcınıza başvurun.

Yeniden kimlik doğrulama

AAL2 için NIST gereksinimi, kullanıcı etkinliğinden bağımsız olarak 12 saatte bir yeniden kimlik doğrulamasıdır. Yeniden kimlik doğrulaması, 30 dakika veya daha uzun bir süre etkinlik dışı kalındıktan sonra gereklidir. Oturum gizli dizisi sahip olduğunuz bir şey olduğundan, bildiğiniz veya bildiğiniz bir şeyi sunmanız gerekir.

Microsoft, kullanıcı etkinliğinden bağımsız olarak yeniden kimlik doğrulama gereksinimini karşılamak için kullanıcı oturum açma sıklığının 12 saate yapılandırılmasını önerir.

NIST ile abone varlığını onaylamak için telafi denetimlerini kullanabilirsiniz:

Oturum etkinlik dışı kalma süresini 30 dakika olarak ayarlayın: Microsoft System Center Configuration Manager, grup ilkesi nesneleri (GPO'lar) veya Intune ile cihazı işletim sistemi düzeyinde kilitleyin. Abonenin kilidini açması için yerel kimlik doğrulaması gerekir.
Etkinlikten bağımsız olarak zaman aşımı: Etkinlikten bağımsız olarak makineyi 12 saat sonra kilitlemek için zamanlanmış bir görev (Configuration Manager, GPO veya Intune) çalıştırın.

Ortadaki adam direnci

Talep sahibi ile Microsoft Entra Kimliği arasındaki iletişimler kimliği doğrulanmış, korumalı bir kanal üzerinden yapılır. Bu yapılandırma, ortadaki adam (MitM) saldırılarına karşı direnç sağlar ve AAL1, AAL2 ve AAL3 için MitM direnç gereksinimlerini karşılar.

Yeniden yürütme direnci

AAL2'deki Microsoft Entra kimlik doğrulama yöntemleri, nonce veya zorluklar kullanır. Doğrulayıcı yeniden oynatılan kimlik doğrulama işlemlerini algıladığı için yöntemler yeniden yürütme saldırılarına karşı koyar. Bu tür işlemler gerekli nonce veya timeliness verilerini içermez.