Microsoft slopar lösenordskrav för nya konton

Två faktor behöver ju inte vara lösenord dock. Vanligt idag är att kommer du från en känd dator så räknas det som en faktor och den andra kan vara t.ex. Authenticator. Kommer du från en ny dator behöver du även en mail kod. Framförallt nu när det blir vanligare att skapa en passkey på din enhet, och inte lita på loggad IP / cookies och maskin signatur.

32 procent lyckade inloggningar med lösenord?

Skönt att jag inte är den enda som glömmer bort lösenord.
Speciellt till diverse slaskkonton som används sällan/var länge sedan man försökte logga in på.
(Syftar inte specifikt på Microsoft konto, utan på tjänster som använder lösenord i allmänhet).

Precis, sedan behöver ju Paddan/telefonen ha en telefon/klocka för 2FA på den, osv.

Mera i ämnet :

By Ash Hill published 5 hours ago

" Old cached passwords will still allow a successful login which is a huge security concern. Despite the glaring open backdoor, Microsoft has insisted that this is intentional and the company has no plans to change the way this function operates as it provides a method for users to never be completely locked out of their machine.

Microsoft has their own definition of what qualifies as a "security vulnerability" and claims that this does not count as a vulnerability.

...the current configuration of Windows RDP will allow users to access machines to using old, cached passwords even if they have been updated or changed

https://www.tomshardware.com/software/windows/microsoft-has-n...

Vad är MFA2? Hittar inget relevant när jag söker på webben efter termen. Jag ska erkänna att jag inte är spjutspetskompetent inom området, men jag trodde jag hade lite koll..

Men återigen: MFA är inte en teknik, och alla sätt att implementera MFA kan inte rättvist dras över samma kam.
Om jag har en SFTP-server som kräver både användarnamn+lösenord samt en korrekt ssh-nyckel för att släppa in användare, så ser angreppsprofilen på den helt annorlunda ut än om jag har en "vanlig" kombination av användarnamn och lösenord + TOTP-kod på en webbsite, vilken i sin tur har olika angreppsprofiler beroende på hur TOTP-koden lagras hos användaren. Båda dessa uppför sig i sin tur helt annorlunda än Passkeys, men har mycket gemensamt med en webbtjänst som kräver tvåvägsvalidering av server- och klientcertifikat i tillägg till användarnamn och lösenord. I denna representativa men begränsade lista av tillämpningar av MFA, var är MFA och inte människan den svagaste länken?

Packar ihop dessa två i ett svar:
För ett par år sedan var det stor uppståndelse runt ett antal personer i USA som fått sina iCloud-konton knäckta efter att ligor satt i system att "bli kompisar" med ett offer på en fest, en brottsling lånade telefonen för att ta en gruppbild, och vid tillbakalämning låste telefonen för att den skulle kräva manuell inloggning. Under tiden höll sig deras kumpan bakom offret för att se vilken kod de knappade in när de sedan försökte logga in på telefonen igen. Poängen här var att man utnyttjade naivitet och överförfriskning för att underlätta ett arbete som annars hade varit betydligt svårare.

Men om biometrisk säkerhet är "bra" beror ju helt på systemet som används för biometrisk validering. Första generationen av Apples TouchID knäcktes väldigt snabbt, men krävde den sorts motivation du pratar om här: Någon som är beredd att pudra, fotografera och modellera fingeravtryck à la Mission:Impossible. Tittar du på modern FaceID har angriparens arbetsinsats ökat rejält. Oavsett detta skulle jag påstå att en biometrisk faktor vid autentisering ökar de facto-säkerheten för majoriteten användare, därför att den underlättar för dem att ha någon som helst säkerhet, samtidigt som moderna och väldesignade implementationer i praktiken kräver en riktad, personlig attack för att man ska kunna knäcka dem, och då är vi snabbt inne på högre straffskalor; grejer som olaga tvång eller människorov.

Men personer som vet med sig att de lever under hot från statliga aktörer uppmanas att inte använda biometrisk data för att logga in; inte minst för att exempelvis USA gjort tolkningen att det står dig fritt att inte avslöja något som finns i ditt huvud (ett lösenord), men du kan i många fall tvingas ställa ett finger eller ditt ansikte, vilka båda är offentligt synliga, till förfogande. Men om du vet att du har en amerikansk trebokstavsmyndighet efter dig, eller att du blåst maffian på alldeles för mycket stålar, så hoppas jag att du också är bra på att bedöma din operationella säkerhet kontra din hotbild.

Här ser jag inte riktigt kopplingen till vad vi pratade om, men förtydliga gärna.

Lite knåp i registret så behöver man inte logga in. Loggar bara in när jag behöver vara Administratör. Min fru hade glömt administratörslösenordet. Lite sökande på internet så hittade jag ett gratisprogram som tar bort lösenordet och sedan lägger man in det på nytt. När det var så enkelt att komma förbi lösenordet så är det inte så noga om man har nått eller inte. Jag använder bara lokala lösenord. Vill inte att Microsoft ska ha tillgång till min dator. (men det har dom nog ändå?)