近日，微软向使用Entra ID的IT管理员发出通知邮件，建议立即停止使用基于短信或语音的身份验证方式，并敦促用户迁移至#Passkey，以应对日益猖獗的AI辅助网络钓鱼及安全威胁。
Passkey是由FIDO联盟推出的一种身份认证解决方案，已被苹果、谷歌和微软等科技巨头所采用。该方案的使命是替代传统的密码（口令），它既能提供更高的安全性，又能减少用户记忆和输入密码的烦恼。具体来说，Passkey是基于FIDO2/WebAuthn标准的登录验证文件，包含公钥和私钥。在用户注册时使用公钥，而私钥则安全存储在用户的设备（例如硬件安全密钥）中。由于公钥和私钥的分离，用户的登录凭据分别保存在云端和本地，这有效降低了用户登录凭证被攻击者窃取的风险。Passkey的优势显而易见，其简便性和安全性都十分出色。用户可以通过生物识别（如面部识别或指纹）或硬件安全密钥来验证身份，进而登录账户，无需再记忆复杂的密码。这不仅提升了账户的安全性，还极大地简化了登录流程。
微软在邮件中指出，AI技术并未赋予攻击者直接入侵移动设备的“超能力”，但显著降低了操纵通信渠道的门槛。借助AI，资源有限的攻击者也能更轻松地实施SIM卡劫持（SIM swapping），或将受害者手机号转移至其控制的SIM卡上。数据显示，旨在诱骗用户交出密码（口令）和短信验证码的AI驱动攻击数量急剧上升，且点击率高于传统攻击。微软强调：“短信和语音是目前最脆弱的MFA之一，在抵御网络钓鱼、SIM卡劫持和重放攻击方面，其安全性远逊于Passkey。”
微软宣称，自2027年2月1日起，Entra ID用户将无法再通过短信或语音认证访问账户。微软为企业用户制定了明确的迁移时间表，并且强调“该措施强制执行，没有豁免选项”，适用于所有租户：
2026年9月1日：若Entra账户仍依赖短信或语音认证，系统将强制要求注册Passkey。用户在尝试多因素身份认证登录时会被提示设置。若不愿使用Passkey，需在此日期前切换其他认证方式。
2027年2月1日：微软将在Entra ID中彻底停用短信和语音认证，用户必须使用Passkey等更安全的抗钓鱼认证方式。
与企业用户不同，微软尚未为个人账户设定具体的短信认证停用时间。这些账户广泛用于Windows 11、Xbox及Outlook等服务，影响范围广泛。然而，微软官方技术支持页面已经发布了公告：
公告称，Microsoft认为身份认证的未来是无密码（passwordless）、安全和用户友好的。“Microsoft致力于通过默认安全体验来提升安全标准。通过迁移到Passkey和已验证的电子邮件，我们帮助用户保持领先于不断变化的威胁，同时使帐户访问更简单、更无缝。”
公告列举了Passkey相对于短信验证码的优势：
更安全：Passkey具有防网络钓鱼功能，并消除了欺诈风险；
更便捷：无需再等待短信代码——使用Passkey立即登录，利用生物识别或设备 PIN，或者通过使用 Apple 和 Google 账户的一键登录选项进行登录；
更好的账户恢复：已验证的电子邮件和密钥可确保用户即使更改电话号码或丢失设备也能恢复访问权限；
降低风险：短信是账户劫持最有针对性的攻击途径之一。远离它可显著减少暴露。
公告强调，Microsoft账户登录的最新更新现已支持具有设备生物识别身份验证的Passkey，网络钓鱼几乎无法成功。
飞天诚信是FIDO联盟董事会成员，同时也是微软智能安全协会（Microsoft Intelligent Security Association，简称 MISA）成员。MISA由微软顶级安全合作伙伴组成，包括独立软件供应商(ISV)和托管安全服务提供商(MSSP)，致力于将自己的解决方案与微软安全产品相集成。MISA的成员都是来自网络安全行业的专家，其共同目标是提升客户的安全性。自2017年以来，飞天诚信与微软合作推出了一系列基于生物特征识别的passwordless身份认证解决方案，为企业、政府、医疗、教育及个人用户提供多种FIDO2指纹生物识别无密码安全密钥。
飞天诚信BioPass系列FIDO Security Key产品，使用户能够随身携带个人身份认证信息，并且无需使用用户名和密码（口令）即可安全登录Entra ID。用户可以通过USB-A或USB-C接口，以及NFC及BLE接口将BioPass连接到电脑或手机，并使用已注册的指纹快速、安全完成账号登录或单点登录。
从短信验证码的逐步退场，到passwordless MFA时代的全面到来，网络安全的核心始终是抵御风险、守护每一次安心登录。面对AI钓鱼、账号劫持频发的网络安全困境，身份认证的迭代升级，早已不是行业选择，而是必然趋势。深耕无密码安全认证领域多年，飞天诚信始终坚守初心、笃定前行，紧跟全球安全技术革新步伐，深耕FIDO2无密码（口令）认证技术，持续打磨更安全、更便捷、更适配全场景的身份认证解决方案。未来，飞天诚信将以硬核技术为基石、用户安全为初心，持续破解传统认证的安全短板，助力政企、行业及个人用户彻底告别老旧认证隐患，从容拥抱无密码、高安全、高效率的数字新生态，为每一位用户的数字资产安全筑牢坚实屏障。