Entra ID on Phillip Büchler

Who Holds the Keys to Your Patching?

Sat, 31 Oct 2026 00:00:00 +0000

On 21 October, details of two critical PHP flaws leaked to VirusTotal at 02:29 UTC. By 07:34, hosting providers were reporting active exploitation, and PHP released the fix at 13:52, according to Recorded Future. Amazon later said the first exploitation attempts started on 17 October, four days before any patch existed.

In Patch Less I argued that the long tail of utilities on user devices should be patched automatically, with a third-party tool or Microsoft’s own catalogue. Timelines like this one are the reason. But that automation raises a question I keep coming back to: when you hand patching to a third-party tool, whose keys are you handing over?

The MSA Key Leak: Why Your "Double Key" Wasn't a Deadbolt

Tue, 12 May 2026 00:00:00 +0000

The MSA Key Leak: Why Your “Double Key” Wasn’t a Deadbolt

We’ve all spent time dissecting the post-mortem of the Microsoft MSA signing key heist (Storm-0558). It’s one of those incidents that remains relevant for architectural teams because it didn’t just break a lock—it forged the master blueprint for the entire security desk.

In looking back at the past assessments of the impact, one claim keeps resurfacing: Even Double Key Encryption (DKE) was potentially compromised.

Holistic Approach to Conditional Access Exclusions

Tue, 30 Aug 2022 00:00:00 +0000

Whoever works with Microsofts cloud offerings and has a role that is somewhat impacted by Security, must have heard of Conditional Access (CA) by now. It is a very essential part of Microsofts Security offering and Zero-Trust-implementation. Rightly, planning, defining, and implementing CA-policies has a lot of coverage on the internet. I’ll try to add a little something which might seem dry, but is essential: How to handle exclusions?

All CA-policies are assigned to groups, users, and machines. With exclusions, CA offers a way to define policies that don’t apply to certain subsets of your landscape. In my example, I will create an exclusion process around a policy that blocks access from certain countries.

Location Based Security With Conditional Access

Mon, 31 Jan 2022 00:00:00 +0000

Update as per documentation, and confirmed by my personal testing, this no longer applies. Microsoft Authenticator notices active developer options and blocks the sign-in attempt, see https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network#countries

Original post: Some regulated industries require control over the location of data access. In the Microsoft cloud world, this requirement might be implemented with Conditional Access and a location policy.

If I access, the request is checked against the configured locations, and if the location is allowed to access, the request is granted. In my case, my request comes from:

Zero Trust

Tue, 10 Mar 2020 00:00:00 +0000

Man könnte meinen “Zero Trust”-Konzepte seien eine top moderne Modeerscheinung. Ohne jetzt die volle Recherche-Power des Internets zu nutzen, kann ich allerdings sagen, dass diese Konzepte schon seit über zehn Jahren propagiert werden. Google war der erste grössere Implementator.

Auf einen Satz zusammengedampft besteht “Zero Trust” in der ständigen Authentisierung von Anwendern, Anwendungen und Endgeräten.

Als Verfechter von benutzbarer Sicherheit sehe ich hier auch den Grund für den jetzigen Erfolg des Konzepts. Heute sind die Lösungen so einfach zu verwenden, dass Anwender akzeptieren sich ständig anmelden zu müssen. Weil Anwender Anmeldungen in den meisten Fällen gar nicht mitkriegen. Sie melden sich via Biometrie an ihrem Endgerät an. Dieses Endgerät ist fix auf sie zugeteilt und deshalb in Systemen als sichere Anmeldung hinterlegt.

Group based licensing - a new business model for Microsoft?

Tue, 25 Jun 2019 00:00:00 +0000

Lets face it. Microsoft 365 implementation projects can get a bit messy. You start exploring possibilities, you create Azure AD groups, you sync some from Active Directory and you assign policies in Intune. Then you might want to install features for pilot users before you configure the policy for all users.

Well what about group based licensing? Are you shoveling money into Microsofts pockets if you lose your firm grip over groups that have licences assigned?

Sketchnote - Experts Live Café bei der Mobiliar

Tue, 21 May 2019 00:00:00 +0000

John Craddock über verteilte Identitäten

John Craddock erklärte die Mechanismen von Bitcoin und verteilten Identitäten

Gestern hatte ich das Vergnügen einem Experts Live Café in den Räumen der Mobiliar teilzunehmen. Stefan Roth und Stefan Johner organisierten eine weitere Ausgabe mit hochkarätigen Microsoft Spezialisten. Gestern war es mit John Craddock ein Microsoft MVP mit langjähriger “Identity-Management” Expertise. In seinem zweiteiligen Vortrag erklärte er erst die Grundsätze und Mechanismen von Bitcoin als Beispiel für eine Blockchain. Diesen Teil habe ich in der obigen Sketchnote festgehalten. Die Erklärung schaffte es auch erstmals eine kleine Lust auf Bitcoin Experimente zu wecken. Und nun kenne ich mit “Satoshi” einen weiteren, japanisch tönenden Künstlernamen neben “Hatori Hanzo”

Azure Priviledged Identity Management

Tue, 14 Aug 2018 09:33:24 +0000

Beim Einsatz von Office 365 benötigt es verschiedene Administrationsrollen. Als allererstes wird ein “Global Admin” angelegt. Der Über-Admin der alles konfigurieren und verändern kann. Diese Rolle möchte man sorgfältig vergeben. Mit steigender Aufgabenlast, wird aber auch diese Rolle auf mehrere Personen verteilt.

Nebst den Systemunabhängigen Mechanismen wie Adminrechte nie auf seinem Arbeitsuser zu tragen sowie so wenig Admins wie nötig zu berechtigen, gibt es weitere Wege.

Microsoft arbeitet laufend daran die Notwendigkeit der “Global-Admin”-Rolle zu reduzieren. So musste ich zu Beginn meiner Office 365 Tätigkeit bereits Global Admin sein um den “Conditional Access” einzurichten. Inzwischen gibt es hierzu den dedizierten “Conditional Access”-Admin.