無密碼登入已成新趨勢，微軟帳號全面支援

根據微軟 Microsoft Defender Antivirus 遙測數據指出，平均每秒有579起密碼攻擊事件正在發生，相當於每年180億起事件，可見傳統密碼成為駭客攻擊的首要目標之一，為加強保護企業及使用者的機密資訊，微軟正式宣布啟動 無密碼登入 (Passwordless) 。

網路服務帳密被盜事件頻傳，因此，許多大型的網站紛紛提供兩步驟驗證，為用戶帳號提供多一層保護，而目前最常見的作法，是用戶在手機上接收驗證碼再輸入電腦，也就是所謂的簡訊動態密碼，然而，近年這種機制也被認為不夠安全，還是會遭到網路釣魚與中間人攻擊的風險。

為此，一些大型的網站已經改變形式，並且現在還提供了安全金鑰的選項，而這麼做，就是應用FIDO U2F或FIDO2的實體安全金鑰來登入，使用者可以將一個USB形式的實體裝置，接在電腦上，或是透過NFC的連線來近距離感應。

為加強保護企業及使用者的機密資訊，微軟正式宣布啟動無密碼(Passwordless) 登入，全球企業的商務使用者皆可完全移除傳統密碼，透過 Microsoft Authenticator App 、 Windows Hello 、安全性金鑰或手機及電子郵件驗證碼等方式來登入微軟帳戶、應用程式及服務，幫助使用者省去設定、更改密碼的繁雜程序，並避免可能發生的密碼問題，加速邁向無密碼時代。

這項功能也是微軟去年年底預告要在2021年，推動所有用戶使用無密碼存取的最新進展。當時微軟稱，已經有1.5億人以Windows Hello或微軟Authenticator App等無密碼登入方式，來登入Azure Active Directory，而以Windows Hello登入Windows 10家用及工作裝置的用戶也快速增加。

微軟推動多因素驗證(multi-factor authentication，MFA) 行之有年，自2018年起，微軟帳戶、Edge瀏覽器和Windows 10 皆已陸續支援使用者可透過 Windows Hello 和FIDO2安全性金鑰登入。繼去(2020)年11月微軟於Microsoft Ignite大會上宣布，已有超過1億人使用無密碼登入微軟Azure Active Directory及帳戶，今(2021)年5月更突破1.5億人，而今微軟正式宣布全球的商務使用者皆可完全移除傳統密碼，啟動無密碼(Passwordless)登入，透過 Microsoft Authenticator App 、 Windows Hello 、安全性金鑰或手機及電子郵件驗證碼等方式來登入微軟帳戶、 Outlook 、 OneDrive 、 Xbox 及家長監護功能(Family Safety)等應用程式與服務。自今(2021)年3月推出以來，無密碼登入不僅獲得微軟企業客戶的熱烈回響，微軟全球近100%的員工皆選擇以無密碼登入公司帳號。

微軟呼籲企業及使用者應採取「 無密碼登入 」

傳統密碼是數位生活中不可或缺的基本防護層，然而隨著數位服務逐漸增加，使用者必須設定、管理多組帳號密碼，不僅較以往更耗時費力，可能引發的資安風險也隨之增加。根據微軟帳戶使用者反饋及統計數據，微軟提出四大原因以呼籲使用者應盡可能地改以無密碼登入帳戶、應用程式及服務：

🟧設定及管理密碼程序繁雜：近年來密碼的設定要求日益複雜，時常必須包含符號、數字、區分大小寫，必須定期更新又不允許使用舊密碼。43%的受訪者每月都會遇到密碼問題，更有30%因此停止使用帳戶或服務，而非進行密碼重置，顯示出創建足夠安全又能記住的密碼是一項挑戰。

🟧密碼難以保存：27%的受訪者僅依靠記憶來儲存密碼，更有28%會將所有密碼寫下，以紙本記錄的方式保存不僅容易遺失，更增加資訊外洩的風險。

🟧使用者習慣反而增加密碼攻擊威脅：使用者為了能記住密碼，經常使用和自身相關的現成字詞，根據近期微軟調查，30%的受訪者表示使用與寵物、家人相關的密碼，其他常見的包含姓氏、生日等個人資訊，更有10%的受訪者坦承所有帳號都使用同一組密碼。此外，更有40%表示設定密碼時皆有公式，例如今年秋季使用Fall2021，隨著冬天、春天來臨便改為Winter2021、Spring2022。這些設定習慣皆讓駭客可在快速瀏覽使用者的社群媒體後，更輕鬆快速地破解密碼。

🟧密碼本身存在的資安風險：一旦帳號密碼外洩，便經常被發布在暗網上以攻擊用途出售。駭客可利用諸多工具和技術，透過「密碼噴灑」(password spraying) 的方式亂槍打鳥嘗試侵入帳戶，也能以網路釣魚手法讓使用者在假冒網站中輸入帳號密碼。前述攻擊手法並不高深複雜，數十年來駭客持續使用卻仍然有效，原因是密碼依然由「人」所設置。