Microsoft abbatte le barriere dell’MFA: Entra ID apre le porte ai difensori di terze parti

Per anni, i team di sicurezza si sono trovati davanti a un dilemma frustrante: come imporre un’autenticazione forte e flessibile in ecosistemi IT estesi senza impigliarsi in una rete di sistemi incompatibili. Ora è in corso un cambiamento importante. Microsoft ha spalancato le porte della sua piattaforma Entra ID, annunciando una nuova funzionalità che potrebbe ridefinire il modo in cui le aziende si difendono dagli attacchi basati sull’identità. La mossa arriva mentre i criminali informatici aumentano sia la sofisticazione sia la frequenza degli assalti alle credenziali degli utenti - rendendo un’autenticazione a più fattori (MFA) robusta e adattabile non solo una best practice, ma una necessità di business.

Rompere gli schemi dell’MFA

Fino a oggi, le aziende che utilizzano Microsoft Entra ID (ex Azure AD) erano vincolate da una limitazione critica: il supporto nativo per solo una manciata di metodi MFA. Molte grandi organizzazioni - soprattutto quelle plasmate da fusioni, obblighi normativi o sistemi legacy - si affidano a un mosaico di soluzioni MFA di terze parti. La risposta di Microsoft? L’integrazione External MFA, ora disponibile a livello generale e basata sul protocollo OIDC, standard di settore.

Questo cambiamento consente ai team di sicurezza di collegare qualsiasi provider MFA affidabile mantenendo tutte le decisioni di identità centralizzate in Entra ID. Il risultato è un piano di controllo più unificato: gli amministratori possono monitorare, configurare e applicare sia i flussi di autenticazione Microsoft sia quelli esterni da un’unica interfaccia. Niente più dashboard scollegate da gestire o compromessi sui requisiti di conformità.

Sicurezza senza sacrifici

In modo cruciale, ogni accesso - indipendentemente dal provider MFA - continua a passare attraverso l’intera pipeline di sicurezza di Microsoft. Ciò significa che le regole di Accesso Condizionale, il punteggio di rischio in tempo reale e la gestione delle sessioni continuano a proteggere il perimetro aziendale. Microsoft tiene a sottolineare che, semmai, visibilità e supervisione risultano rafforzate, non ridotte.

Ma a una grande flessibilità corrisponde una nuova responsabilità. Gli esperti avvertono che policy di Accesso Condizionale tarate male - come richieste MFA troppo frequenti - possono ritorcersi contro, abituando gli utenti ad approvare le richieste in automatico e aumentando la suscettibilità al phishing. La chiave è l’equilibrio: abbastanza attrito da scoraggiare gli attaccanti, non così tanto da desensibilizzare gli utenti.

Guardando avanti: migrazione e Zero Trust

L’arrivo di External MFA segnala anche il tramonto del vecchio approccio “Custom Controls” di Microsoft, con una data di ritiro definitiva fissata per la fine del 2026. Le aziende che si basano su quei controlli hanno una scadenza di migrazione, anche se Microsoft promette indicazioni chiare per una transizione senza intoppi. In definitiva, questa evoluzione si allinea al modello Zero Trust - dove l’identità, non il perimetro, è il fondamento della difesa digitale.

Conclusione

La scelta di Microsoft di abbracciare l’MFA di terze parti è più di un semplice ritocco tecnico - è una risposta attesa da tempo alla complessità reale dell’IT aziendale moderno. Man mano che l’identità diventa il campo di battaglia della difesa cyber, strumenti che offrono sia flessibilità sia controllo centralizzato non sono solo graditi. Sono essenziali. Il messaggio è chiaro: nella lotta contro la compromissione degli account, è tempo di abbattere le barriere - prima che gli attaccanti trovino un varco.

WIKICROOK

• Multi: Multi si riferisce all’uso di una combinazione di tecnologie o sistemi diversi - come satelliti LEO e GEO - per migliorare affidabilità, copertura e sicurezza.
• Accesso Condizionale: L’Accesso Condizionale applica policy di sicurezza che limitano l’accesso in base a fattori come posizione dell’utente, dispositivo o livello di rischio, per bloccare accessi non autorizzati.
• OpenID Connect (OIDC): OpenID Connect (OIDC) consente agli utenti di accedere in modo sicuro a più siti con un solo login, agendo come un passaporto digitale universale per l’autenticazione online.
• Zero Trust: Zero Trust è un approccio alla sicurezza in cui nessun utente o dispositivo è considerato affidabile per impostazione predefinita, richiedendo una verifica rigorosa per ogni richiesta di accesso.
• Pipeline di valutazione delle policy: Una pipeline di valutazione delle policy verifica le richieste di accesso rispetto alle policy di sicurezza, assicurando che solo utenti o dispositivi conformi ottengano l’accesso alle risorse protette.