Cómo Funciona Microsoft Entra Self-ServicePassword Reset
Microsoft Entra (Azure AD) Self-Service Password Reset permite cambiar, desbloquear o restablecer contraseñas desde Entra ID (Azure AD) y escribirlas nuevamente en Active Directory local. Esta funcionalidad solo está disponible en implementaciones híbridas, por ejemplo, si tienes Active Directory local sincronizado con Entra ID y cuentas con una licencia P1/P2 o Microsoft 365 Business Premium. En los planes de Education, está incluida en las licencias A3/A5.
Aunque Microsoft ha incorporado algunos avances, la solución se queda corta en experiencia de usuario y seguridad en varias áreas:
- Las opciones de MFA son limitadas
- No permite actualizar las credenciales almacenadas en caché local para usuarios remotos
- No muestra las reglas de la política de contraseñas
- No incluye una interfaz dedicada para el service desk
Las Opciones de MFA Son Limitadas
Opciones limitadas, sin soporte para proveedores de identidad de terceros
En Entra ID (Azure AD), las opciones de MFA para proteger los restablecimientos de contraseña son limitadas. Aunque Entra ID admite más métodos de MFA en otros casos de uso, para el restablecimiento de contraseña Microsoft solo permite los siguientes:
- SMS
- Llamada de voz
- Notificación push a través de Microsoft Authenticator
- TOTP a través de aplicaciones como Google o Microsoft Authenticator
Estas opciones limitadas impiden a las organizaciones que ya han invertido en un proveedor de identidad de terceros, como Okta, Duo o Ping, o en tokens hardware como YubiKey, aprovechar esa inversión en el restablecimiento de contraseña de Entra ID y reducir la carga de inscripción de los usuarios finales. También dejan a los usuarios sin dispositivos propios con las preguntas de seguridad como única opción de MFA.
Specops uReset, nuestra solución de restablecimiento de contraseña de autoservicio de Active Directory, ofrece una plataforma MFA flexible con 20 formas de autenticación, incluidos proveedores de terceros como Okta, Duo, Ping, Symantec VIP y YubiKey. uReset se adapta a organizaciones con distintos perfiles de usuario y ofrece opciones de MFA como Trusted Network Location y Manager Identification para usuarios sin dispositivos propios.
Las preguntas de seguridad son cuestionables
Con Microsoft Entra (Azure AD) Self-Service Password Reset, todas las preguntas de seguridad se muestran al usuario a la vez y las respuestas no se ocultan. Esto facilita el shoulder surfing o que un atacante obtenga por ingeniería social las respuestas a todas las preguntas. Microsoft Entra tampoco incluye un umbral de bloqueo por respuestas incorrectas.
Las organizaciones con usuarios sin dispositivos propios suelen recurrir a las preguntas de seguridad como opción de MFA “mejor que nada”. Cuando son necesarias, Specops uReset permite implementarlas con más controles de seguridad, como no mostrarlas todas a la vez, ocultar las respuestas mientras se escriben y configurar bloqueos personalizados tras respuestas fallidas.
Sin soporte para actualizar credenciales en caché local
Las Llamadas de Restablecimiento de Contraseña Aumentan los Costes del Service Desk
Gartner estima que el 40 % de las llamadas al service desk están relacionadas con contraseñas. Forrester Research estima que cada llamada puede costar a las organizaciones más de 70 $.
Los usuarios remotos pueden aumentar de forma significativa las llamadas al service desk. Las credenciales en caché local permiten a los usuarios autenticarse cuando no hay conexión con el controlador de dominio. Sin embargo, si un usuario restablece o cambia su contraseña sin una herramienta capaz de actualizar esa credencial localmente, pueden producirse conflictos y el usuario puede acabar bloqueado.
Microsoft Entra (Azure AD) Self-Service Password Reset no dispone de ningún mecanismo para actualizar la credencial en caché cuando se pierde la línea de visión con un controlador de dominio, lo que probablemente aumenta las llamadas al service desk en organizaciones con usuarios remotos que dependen de Microsoft Entra Self-Service Password Reset.
Specops uReset permite actualizar credenciales en caché local, con o sin conexión al controlador de dominio. Es un caso de uso importante y habitual para la mayoría de nuestros clientes, ya que cada vez más usuarios finales trabajan en remoto a tiempo completo o parcial.
No se muestran las reglas de la política de contraseñas
Microsoft Entra (Azure AD) Self-Service Password Reset no proporciona a los usuarios feedback útil mientras crean una contraseña que cumpla la política. La interfaz muestra mensajes poco específicos y solo después de enviar la nueva contraseña. Esto puede hacer que los usuarios fallen varias veces al restablecerla y terminen llamando al service desk.
Specops uReset muestra dinámicamente las reglas de la política de contraseñas y guía a los usuarios con feedback en tiempo real mientras escriben la nueva contraseña. Así pueden corregirla antes de enviarla y reducir las llamadas al service desk.
Carece de una interfaz de servicio de asistencia dedicada
Aunque una solución de restablecimiento de contraseñas de autoservicio debería reducir las llamadas al service desk, no puede eliminarlas por completo. Las contraseñas restablecidas por los propios usuarios mediante una solución segura basada en MFA siguen siendo vulnerables si la llamada al service desk no está protegida. Microsoft Entra (Azure AD) Self-Service Password Reset no ofrece una interfaz dedicada para que el service desk verifique la identidad de quien llama antes de restablecer o cambiar contraseñas, o desbloquear cuentas, lo que deja este caso de uso expuesto a ataques de ingeniería social.
La mitad de las brechas de datos implican un ataque malicioso o delictivo, y la ingeniería social representa un porcentaje elevado de estos casos (Ponemon, 2019). El service desk es un objetivo prioritario para la ingeniería social, por lo que verificar a los usuarios es imprescindible. Specops ofrece Secure Service Desk, un producto complementario de uReset que permite al personal del service desk verificar la identidad de los usuarios mediante los factores de autenticación en los que ya están inscritos antes de restablecer o cambiar sus contraseñas.
Acerca de Specops uReset
Specops uReset es una solución de gestión de contraseñas de autoservicio que ayuda a las organizaciones a reducir la carga de llamadas de restablecimiento de contraseña al service desk.
Con Specops uReset, los usuarios pueden restablecer sus contraseñas y actualizar su credencial en caché local desde cualquier lugar y dispositivo. Los usuarios finales pueden iniciar el proceso de restablecimiento desde cualquier navegador, desde su móvil o directamente desde la pantalla de inicio de sesión de Windows en sus estaciones de trabajo. La solución forma parte de una sólida plataforma de autenticación multifactor que también permite verificar usuarios de forma segura para recuperar claves de cifrado, así como aplicar distintos requisitos de autenticación a distintos objetos de directiva de grupo.
Nuestros Socios Tecnológicos
Nuestras colaboraciones con socios tecnológicos ayudan a las organizaciones a ampliar con confianza el valor de sus inversiones y sistemas actuales para optimizar la seguridad de las contraseñas, ya sea extendiendo sus inversiones existentes en autenticación multifactor o ampliando la funcionalidad de Microsoft Active Directory. Lee más sobre nuestros socios.
