Microsoft Authenticator

Analýza od Mobexer

Když se přihlašuji do pracovního účtu na novém telefonu nebo notebooku, nechci ztrácet čas hledáním hesla a opakovaným zadáváním kódů. Právě v takové chvíli mi dává smysl Microsoft Authenticator: ukládá ověřovací údaje a podle nastavení účtu umožňuje potvrdit přihlášení přímo v telefonu. Není to kouzelná zkratka, která odstraní všechna bezpečnostní pravidla, ale dobře zvládá každodenní přihlašovací kroky, pokud už používáte účty Microsoft nebo další služby podporující ověřovací aplikace.

Nejlépe se mi osvědčuje, když si celý postup připravím v klidu, nikoli až ve chvíli, kdy spěchám na schůzku a přihlášení mě zastaví. Nejdřív si vyberu několik důležitých účtů, u každého zkontroluji dostupné možnosti ověření a teprve potom je přidávám. Takový postup působí pomaleji než hromadné nastavování, ale v praxi rychle odhalí, která služba používá potvrzení a která vyžaduje kód nebo jiný krok.

Jde o bezplatnou aplikaci pro podnikání od Microsoft Corporation, ale její využití se neomezuje na kancelář. Hodí se i pro osobní účty a služby, které podporují jednorázové ověřovací kódy. V mém pohledu je její největší výhoda praktická: přihlašování se může změnit z opisování údajů na kontrolu oznámení a jedno vědomé potvrzení. Zároveň je důležité vědět, že pohodlí závisí na tom, jak služba přihlášení nastavila.

Od prvního nastavení k běžnému přihlášení

Nejdřív propojit účet, potom se přihlašovat

Začátek není v samotném potvrzování, ale v přidání účtu. U účtu Microsoft se obvykle řídím pokyny na obrazovce při jeho zabezpečení: služba zobrazí postup propojení s aplikací a telefon se stane jedním z prostředků ověření. U účtu jiné služby se postup může lišit, protože aplikace musí odpovídat tomu, co daná služba nabízí. Proto bych si před odchodem ze starého telefonu ověřil, že nový způsob přihlášení skutečně funguje.

Praktický detail, který se snadno přehlédne: ověřovací aplikace sama o sobě nezmění nastavení každého účtu. Pokud služba nabízí pouze heslo a žádné další ověření přes aplikaci, Authenticator ji automaticky nezabezpečí. Při nastavování je proto lepší projít zabezpečení přímo u jednotlivých služeb, než předpokládat, že stačí nainstalovat jednu aplikaci a je hotovo.

Microsoft Authenticator má průměrné hodnocení 4,6 z více než 2,8 milionu hodnocení a přes 100 milionů instalací. To napovídá, že nejde o okrajový nástroj, ale samotná popularita neznamená, že bude vyhovovat každému. Je zdarma, má věkové hodnocení PEGI 3 a jako první vydání je uvedeno 13. ledna 2015. Současná verze je 6.2609.6214 a aplikace vyžaduje Android 8.0 nebo novější.

Co se děje při přihlášení

V běžném pracovním scénáři otevřu na počítači službu, zadám účet a místo dalšího opisování kódu dostanu na telefon výzvu k potvrzení. Zkontroluji, že jsem přihlášení skutečně zahájil já, a teprve potom ho schválím. Tahle krátká kontrola je důležitější než rychlost: pokud se oznámení objeví ve chvíli, kdy se nikam nepřihlašuji, neměl bych ho odklepnout jen proto, že vypadá jako obvyklá rutina.

Užitečný návyk je propojit každou výzvu s konkrétní činností: právě jsem otevřel pracovní poštu, přihlásil se do služby, nebo se pokouším změnit nastavení účtu? Pokud si důvod nedokážu vybavit, žádost neschvaluji. Tím se z potvrzování nestane pouhé reflexivní klepnutí. A když přihlášení zahájím na sdíleném či cizím počítači, po dokončení se odhlásím a nenechám samotné ověření nahradit běžnou opatrnost při práci s účtem.

Jestli konkrétní účet používá časově omezené ověřovací kódy, postup je trochu jiný: otevřu aplikaci, najdu příslušný účet a kód přepíšu do přihlašovací obrazovky. To se hodí například tehdy, když oznámení nedorazí nebo když přihlašovací služba vyžaduje právě kód. Rozdíl mezi potvrzením a ručním kódem je dobré znát předem, protože uživatel někdy čeká oznámení, zatímco web ve skutečnosti požaduje jiný způsob ověření.

U více účtů pomáhá udržovat v seznamu pořádek. Doporučuji přidávat účty postupně a po každém nastavení provést zkušební přihlášení, dokud mám k dispozici původní způsob přístupu. Když si nejsem jistý, který záznam patří ke které službě, zdržení nastane právě ve chvíli, kdy potřebuji rychle dokončit práci. Přehledné pojmenování účtů a kontrola jejich skutečného fungování jsou užitečnější než bezmyšlenkovité přidávání všeho najednou.

Předání mezi telefonem, počítačem a účtem

Authenticator nejlépe zapadá do situace, kdy pracuji na jednom zařízení a ověření provádím na druhém. Přihlášení začnu třeba v prohlížeči na notebooku, ale rozhodující kontrola proběhne na telefonu. Tohle rozdělení je praktické, protože útočník, který zná heslo, tím ještě automaticky nezíská možnost potvrdit požadavek na mém mobilu. Ochrana ale stojí i na mém úsudku: potvrzovat mám jen výzvu, kterou jsem sám vyvolal.

V každodenní práci je důležitý i drobný předávací krok: po schválení na telefonu se vrátím k původní obrazovce na počítači a ověřím, že přihlášení opravdu pokračovalo. Samotné klepnutí ještě nemusí znamenat, že je hotovo; web může čekat na další požadavek nebo může být potřeba znovu zadat údaj. Když se stránka nehýbe, nezačínám bezhlavě potvrzovat další výzvy. Raději zkontroluji, zda stále pracuji na správném účtu a zda přihlašovací stránka žádá stejný typ ověření.

V pracovním prostředí může být do procesu zapojen také správce účtu nebo organizace. Pokud firma nastaví vlastní podmínky přístupu, aplikace je sama neobejde; uživatel musí postupovat podle pokynů, které se zobrazí při přihlášení. To je důležitá hranice mezi nástrojem a pravidly účtu. Authenticator usnadňuje ověření, ale nerozhoduje o tom, zda mám k firemní službě oprávnění ani jaké požadavky na přístup organizace používá.

Pro osobní použití se mi líbí, že stejný typ nástroje může obsloužit pracovní i soukromé přihlašování, pokud to dané služby podporují. Neznamená to však, že každý účet musí být nastaven stejně. Některý nabídne potvrzení, jiný jednorázový kód a další může mít vlastní přihlašovací postup. Při potížích proto nejdřív zkontroluji, jakou metodu požaduje konkrétní služba, místo abych opakovaně mačkal potvrzení v aplikaci.

Co získám po dokončení přihlášení

Největší přínos poznám při opakovaném používání. Místo pamatování dalšího hesla nebo ručního hledání kódu mám ověření na jednom místě a mohu zkontrolovat, zda požadavek odpovídá tomu, co právě dělám. To je přesně ten druh malé úspory, který během běžného dne ocení člověk přeskakující mezi pracovním účtem, osobním účtem a různými zařízeními.

Typický denní příklad je práce z domova: otevřu pracovní službu na notebooku, nechám telefon po ruce a schválím pouze přihlášení, které jsem sám spustil. Později se mohu přihlásit k osobní službě, která podporuje ověřovací kódy, a místo čekání na oznámení opíšu kód z jejího záznamu. Jde o dvě odlišné cesty k ověření, takže je praktické vědět, kterou z nich daný účet používá, ještě než se ocitnu pod časovým tlakem.

Pro lidi, kteří stále používají jen heslo, je přechod na další ověření rozumným krokem, ale není bez práce. Je třeba účty nejprve propojit a rozumět tomu, co se stane při ztrátě nebo výměně telefonu. Doporučuji předem projít možnosti obnovy u jednotlivých služeb a nenechávat přípravu až na okamžik, kdy staré zařízení přestane fungovat. U přihlašovací aplikace je plán pro nouzovou situaci součástí pohodlného používání, ne zbytečná formalita.

Nový telefon proto neberu jako pouhou výměnu zařízení. Nejdřív na něm připravím ověření, potom zkusím přihlášení u nejdůležitějších účtů a až po úspěšné kontrole přestanu spoléhat na starý telefon. Pokud účet nabízí náhradní způsob přístupu, ověřím si ho také. Tohle pořadí je zvlášť užitečné před cestou: problém s ověřením se řeší mnohem snáz, když mám ještě původní zařízení a čas postupovat podle pokynů služby.

Pro srovnání s vestavěnými správci hesel nebo ověřovacími nástroji od jiných poskytovatelů záleží hlavně na tom, kde mám účty a jak se přihlašuji. Pokud většinu práce dělám s účty Microsoft, dává smysl držet se jejich ověřovacího postupu. Jestli už mám dobře zavedený jiný správce hesel či autentizační aplikaci a současné přihlašování mi vyhovuje, nemusí být důvod všechno přesouvat. Microsoft Authenticator je nejsilnější jako součást konkrétního přihlašovacího workflow, ne jako povinná volba pro každého.

Oproti správci hesel má ověřovací aplikace jinou roli: správce pomáhá uchovávat a vyplňovat přihlašovací údaje, zatímco tady je hlavní přínos v dalším kroku ověření. Tyto nástroje tedy nemusí být soupeři; mohou se doplňovat, pokud konkrétní účty a vaše zvyklosti takové nastavení podporují. Pokud ale hledám především jedno místo pro ukládání hesel, samotný Authenticator není náhradou za celý správce. A pokud už používám ověřovací aplikaci, kterou mám spolehlivě nastavenou napříč službami, přesun všech účtů může přinést víc práce než užitku.

Kde se pohodlný postup může zadrhnout

Nejčastější tření souvisí s telefonem. Když ho nemám u sebe, je vybitý nebo na něm oznámení přehlédnu, může být přihlášení pomalejší než zadání hesla. Ruční ověřovací kód pomůže jen u účtu, který tuto metodu nabízí; nelze předpokládat, že bude dostupná všude. Proto si před cestou nebo změnou zařízení ověřuji, zda mám pro důležité účty připravený další způsob přístupu.

Právě závislost na telefonu je hlavní důvod, proč bych aplikaci nedoporučil každému bez výhrad. Člověk, který často pracuje bez mobilu, nechce používat telefon pro pracovní účely nebo potřebuje ověřování dostupné na jiném zařízení, by měl nejdřív zvážit možnosti konkrétních účtů. Lepší volbou může být jiný podporovaný způsob přihlášení, pokud ho služba nabízí a lépe odpovídá jeho situaci. Nejde o to obejít zabezpečení, ale zvolit takový postup, který bude skutečně použitelný i v běžném provozu.

Dalším citlivým bodem je přesun na nový mobil. Samotná instalace aplikace na nové zařízení nemusí znamenat, že jsou všechny účty připravené stejně jako předtím. U každého důležitého přihlášení bych ověřil funkčnost a řídil se postupem dané služby nebo organizace. Neodstraňoval bych starou aplikaci dřív, než mám potvrzeno, že nový telefon umí přihlášení dokončit. Právě tento jednoduchý pořadový krok může ušetřit nepříjemné řešení zablokovaného účtu.

Pokud oznámení nedorazí, nejdřív zkontroluji, zda jsem skutečně zahájil správné přihlášení a zda daný účet počítá s potvrzením přes aplikaci. Jestli obrazovka nabízí kód, hledám příslušný záznam; pokud nabízí jinou metodu, řídím se jí místo opakovaného čekání na upozornění. Když se potíž týká pracovního účtu s nastavenými podmínkami organizace, obracím se na příslušný pracovní postup nebo správce. Aplikace nemůže sama vyřešit nesoulad mezi požadavkem služby a způsobem, který uživatel právě zkouší.

Oznámení také může působit až příliš snadno: klepnutí je rychlejší než opisování, ale automatické schvalování by byla špatná náhrada opatrnosti. Když žádost neodpovídá právě zahájenému přihlášení, odmítnu ji a raději zkontroluji zabezpečení účtu. Pro uživatele, který chce jen pohodlně odklikávat každou výzvu, může aplikace vytvořit falešný pocit bezpečí. Její skutečná hodnota se projeví až tehdy, když věnuji pozornost tomu, co potvrzuji.

Komu bych ji doporučil? Především lidem, kteří se pravidelně přihlašují k účtům Microsoft nebo chtějí ověřovací aplikaci pro služby, jež ji podporují, a nevadí jim mít telefon jako součást přihlašovacího procesu. Méně vhodná bude pro člověka, který nechce spravovat ověřování na mobilu, potřebuje mít všechny postupy soustředěné do jiného správce, nebo se často ocitá bez přístupu k telefonu. V takových případech je lepší zvolit způsob ověření, který odpovídá jeho návykům a možnostem obnovy účtů.

Začátečníkům bych doporučil nezačínat všemi službami najednou. Vyberte jeden účet, projděte jeho vlastní nastavení zabezpečení, dokončete propojení a ověřte přihlášení na druhém zařízení. Teprve když tento postup dává smysl, přidejte další. Tím se snáz pozná, zda je problém v aplikaci, v nastavení služby, nebo jen v očekávání, že každá výzva bude vypadat stejně. A při větší změně účtů si ponechte přístup ke starému způsobu, dokud nový spolehlivě nefunguje.

Celkově považuji Microsoft Authenticator za užitečný nástroj, když chci přihlášení zjednodušit, ale zároveň si zachovat druhý krok kontroly. Nejvíc oceňuji návaznost mezi přihlášením na počítači a potvrzením v telefonu; největší slabinou je závislost na správně připraveném zařízení a na tom, jakou metodu konkrétní služba podporuje. Pokud si účty nastavím postupně, ověřím náhradní přístup a nepotvrzuji nečekané výzvy, může mi aplikace ušetřit opakované přihlašovací starosti bez toho, abych pohodlí zaměnil za bezmyšlenkovitost.