微软将2027年2月1日定为Entra ID停用短信和语音登录的最后期限

微软把2027年2月1日定为截止日期

这份编号MC1528000的通知称，微软将从2027年2月1日起停止其提供的短信和语音身份验证。BleepingComputer在10月28日报道了此事，WindowsReport在10月29日跟进。

对管理员来说，这是一个固定日期，没有自动迁移。要么他们自己迁移用户，要么接入第三方运营商。除了仍在使用短信或语音的用户会遭遇登录中断，微软没有说明错过期限还会有哪些后果。这一变更只涉及Entra ID员工租户。面向客户身份的Azure AD B2C和Entra External ID不受影响。微软表示，短信和语音验证码容易被钓鱼和SIM卡交换攻击利用。攻击者会把电话号码转移到自己名下，以接收本应发给机主的验证码。

留给管理员的是一次硬切换，以及一份很短的获批方式清单。

管理员需要做什么

管理员必须把用户迁移到抗钓鱼方式：通行密钥、二维码认证和FIDO2安全密钥。仍需要基于电话登录的组织只剩一条路。他们必须通过Microsoft Security Store接入外部运营商，微软把这种设置称为客户管理的电信提供商。微软向管理员推荐了一个扫描脚本。Entra SMS/Voice Policy Scanner PowerShell脚本可以找出受影响的用户和配置。仍启用短信或语音的用户将获得通行密钥的资格。根据WindowsReport对该公告的解读，他们在下一次多因素验证时会收到注册提示。

通行密钥已是默认方式，且多数为同步密钥

据这两篇报道，微软从2026年9月起就把Entra ID员工租户的默认身份验证方式改为通行密钥。公司在7月宣布了这一计划。2026年8月，它还停止了一项功能，该功能曾允许免费Entra ID客户把短信作为主要登录方式。这些用户注册的通行密钥大多是同步通行密钥。微软高级产品经理Hana Kim在Authenticate 2026上表示，前一个月在Entra中注册的通行密钥有75%是同步的。她说，同步通行密钥环比增长了330%。

同步通行密钥用可恢复性换掉了硬件绑定。Palo Alto Networks的Arie Olshtein在Authenticate 2026上称这是有意的取舍：没有可被钓鱼的共享密钥，但密钥周边的攻击面更大。

恢复路径是最薄弱的环节

这个攻击面的一部分是云账户、同步服务以及打开它的终端设备。Olshtein演示的攻击并不触碰通行密钥本身。UNC6671行动钓鱼iCloud钥匙串恢复流程，转发真实的Apple验证码，然后索要iPhone密码。攻击者的设备随后加入钥匙串，并接收到所有同步的通行密钥。这一缺口体现在保证级别上。同步通行密钥处于NIST AAL2，设备绑定的通行密钥处于AAL3，而大多数使用短信验证码、邮件链接或求助台电话的恢复路径大致只有AAL1。SecurityWeek在10月30日提出了一个相关观点：通行密钥加强了身份验证，但并不能解决账户最初是否被合法创建的问题。

接下来会发生什么

停用从2027年2月1日开始。微软警告说，未做好准备的组织可能面临用户登录中断。

个人微软账户，包括Outlook.com、OneDrive和消费版Microsoft 365，在账户安全设置中走另一套流程。微软在那里的建议很简单。先创建新的通行密钥，再删除旧的。