Microsoft khai tử xác thực SMS và Voice trên Entra ID: Lộ trình chuyển đổi sang Passkeys

• Lộ trình thay đổi: Microsoft sẽ ngừng hỗ trợ xác thực SMS và Voice trên Entra ID bắt đầu từ ngày 01/02/2027.
• Mục tiêu chiến lược: Giảm thiểu rủi ro từ các cuộc tấn công phishing và SIM-swapping nhắm vào các phương thức xác thực dựa trên mạng viễn thông.
• Giải pháp thay thế: Khuyến nghị các tổ chức triển khai Passkeys dựa trên tiêu chuẩn FIDO để đảm bảo an toàn định danh.
• Hành động cần thiết: Quản trị viên cần rà soát các tài khoản phụ thuộc vào SMS/Voice và thiết lập nhà cung cấp viễn thông tùy chỉnh nếu cần thiết.

Trong một nỗ lực nhằm củng cố hạ tầng bảo mật định danh, Microsoft đã chính thức phát đi thông báo về việc ngừng hỗ trợ các phương thức xác thực qua SMS và Voice trong môi trường Entra ID. Theo thông báo từ Trung tâm tin nhắn (Message Center) với mã hiệu MC1528000, lộ trình này sẽ được thực hiện trên phạm vi toàn cầu và các môi trường Government Community Cloud, dự kiến hoàn tất vào đầu tháng 2 năm 2027.

Tại sao cần loại bỏ xác thực SMS và Voice?

Các phương thức xác thực dựa trên tin nhắn văn bản (SMS) và cuộc gọi thoại (Voice) từ lâu đã được các chuyên gia an ninh mạng cảnh báo về tính dễ tổn thương. Những phương thức này không còn đủ khả năng chống lại các kỹ thuật tấn công hiện đại như phishing (lừa đảo trực tuyến) và SIM-swapping (hoán đổi SIM). Kẻ tấn công có thể dễ dàng đánh lừa người dùng để lấy mã xác thực hoặc chiếm quyền kiểm soát số điện thoại được liên kết với tài khoản, từ đó vượt qua lớp bảo mật MFA (Multi-Factor Authentication).

Việc chuyển đổi sang Passkeys là một bước đi chiến lược. Passkeys sử dụng mật mã khóa công khai (public-key cryptography) theo tiêu chuẩn FIDO. Trong cơ chế này, thiết bị của người dùng (authenticator) lưu trữ khóa bí mật, trong khi dịch vụ lưu trữ khóa công khai. Khi đăng nhập, thiết bị sẽ ký vào một thử thách (challenge) sau khi người dùng xác thực qua sinh trắc học hoặc mã PIN, giúp loại bỏ hoàn toàn việc truyền tải các bí mật có thể bị đánh cắp qua các trang đăng nhập giả mạo.

Lộ trình chuyển đổi cho quản trị viên

Quản trị viên hệ thống cần chủ động rà soát các phương thức xác thực hiện có trong tenant của mình. Theo hướng dẫn từ Microsoft, quy trình xử lý sẽ phụ thuộc vào trạng thái đăng ký của người dùng:

• Người dùng có nhiều phương thức xác thực: Nếu người dùng đã đăng ký các phương thức khác (như Microsoft Authenticator hoặc khóa bảo mật), họ sẽ tự động chuyển sang sử dụng các phương thức đó mà không cần thực hiện thêm thao tác đăng ký Passkeys.
• Người dùng chỉ sử dụng SMS/Voice: Đây là nhóm đối tượng cần ưu tiên. Họ sẽ được phép sử dụng phương thức cũ một lần cuối để xác minh danh tính, sau đó bắt buộc phải đăng ký Passkeys để tiếp tục truy cập tài khoản.

⚠️ Cảnh báo quan trọng: Việc trì hoãn quá trình chuyển đổi có thể dẫn đến gián đoạn truy cập nghiêm trọng cho người dùng cuối. Các tổ chức cần lập kế hoạch thông báo và hướng dẫn nhân viên thực hiện đăng ký Passkeys trước thời hạn 01/02/2027.

Cấu hình nhà cung cấp viễn thông tùy chỉnh

Đối với các tổ chức có nhu cầu đặc thù cần duy trì xác thực qua điện thoại, Microsoft cung cấp tùy chọn cấu hình nhà cung cấp viễn thông do khách hàng quản lý (customer-managed telecom provider) thông qua Microsoft Security Store. Tính năng này dự kiến khả dụng từ ngày 30/10/2026.

Các tổ chức cần lưu ý rằng, nếu không sử dụng dịch vụ SMS/Voice do Microsoft cung cấp, họ không cần thực hiện bất kỳ thay đổi nào. Tuy nhiên, đối với các đơn vị đang phụ thuộc vào dịch vụ mặc định, việc đánh giá chi phí, phạm vi hỗ trợ và các điều khoản hợp đồng trước khi triển khai nhà cung cấp tùy chỉnh là bước bắt buộc để đảm bảo tính liên tục của hệ thống. Để biết thêm chi tiết kỹ thuật, quản trị viên có thể tham khảo tài liệu chính thức tại Microsoft Entra Authentication Methods.