Ondersteuning native Microsoft Entra ID-authenticatie i.v.m. informatiebeveiliging

[HO46]

Op toestellen die op een Android-versie draaien, mag de Youforce app binnen Gemeente Amersfoort niet gebruikt worden, omdat de YouForce native app niet voldoet aan het beveiligingsbeleid. Conditional Access (CA) controleert normaal gesproken of een apparaat compliant is voordat toegang wordt verleend. Omdat de Webkit Views geen apparaat-ID meesturen, kan Conditional Access niet vaststellen of het apparaat voldoet aan de beveiligingseisen. Dit betekent dat we niet kunnen afdwingen dat alleen compliant apparaten de YouForce-app gebruiken. Dit is op te lossen door het toepassen van voorwaardelijke toegang (zgn. Conditional Access). Is dit een herkenbaar issue bij andere organisaties? Willen jullie dit idee steunen, zodat Visma snel kan door ontwikkelen?

[Lotte van Dijk]

Goedemiddag HO46,
Bedankt voor je idee.
Je geeft aan dat de app niet controleert of een telefoon een bedrijfstelefoon is (of toegevoegd is aan intune vanuit jullie organisatie). Dat klopt op de manier die jij bedoelt.

Het is belangrijk om te weten dat de Youforce app zelf geen gevoelige informatie van de medewerker of jullie bedrijf opslaat op je telefoon. De app is eigenlijk een veilige manier om naar de Youforce omgeving te gaan, net zoals je via een internetbrowser (zoals Chrome of Safari) naar een website gaat. 

Het enige wat de app op je telefoon bewaart is een soort "sleutel" (de refresh token) die ervoor zorgt dat je niet steeds opnieuw hoeft in te loggen. Deze sleutel is beveiligd. Het is ook goed om te bedenken dat je waarschijnlijk ook via je privé laptop op de Youforce website kunt inloggen, en die laptop wordt ook niet altijd door de organisatie gecontroleerd.

De manier waarop je via de app inlogt is eigenlijk vergelijkbaar met hoe je dat op je laptop doet. Hoewel extra beveiligingschecks op telefoons in sommige gevallen handig kunnen zijn, is de Youforce app op dit moment zo gemaakt dat hij veilig is doordat er geen medewerker en bedrijfsgegevens op je telefoon zelf staan. De focus ligt erop dat je veilig de Youforce omgeving kunt bereiken zonder dat er gevoelige informatie op je telefoon bewaard wordt.

We horen je feedback, maar op dit moment zijn er geen plannen om de app op deze manier te veranderen. We denken dat de app nu al veilig genoeg is voor hoe hij gebruikt wordt.

Ik hoop je hiermee voldoende te hebben geïnformeerd. 

Met vriendelijke groet, 

Lotte van Dijk

[stan0412]

Hallo HO46, Wij lopen tegen exact het zelfde probleem aan met onze Conditional Acess in Intune. Wij maken gebruik van iPhones met dezelfde zero trust constructie. Onze ICT leverancier heeft ook aangegeven dat het ligt aan de Youforce App:  

"De app is helaas niet goed gebouwd voor beheerde toestellen die in MDM hangen en via een Conditional Access rule werkt, de app geeft namelijk 0 device indentifiers mee en kan helaas ook niet werken met externe IDP'S om de autorisatie af te handelen"

Wij krijgen de volgende foutmelding in intune: This is not an error - this is an interrupt that triggers device authentication when required due to a Conditional Access policy or because the application or resource requested the device ID in a token. This code alone does not indicate a failure on your users part to sign in. The sign in logs may indicate that the device authentication challenge was passed succesfully or failed.

Wij zijn al sinds 18-02-2025 over op de nieuwe SSO koppeling maar onze gebruikers kunnen nog steeds de youforce app uit de appstore niet gebruiken. Wij gebruiken als workaround nu de mijn.youforce.com als mobiele web app, hierop werkt de SSO koppeling wel. Helaas duurt het allemaal erg lang bij Visma en de communicatie verloopt erg stroef. Maar gelukkig zijn ze wel bereid om er naar te kijken en heb inmiddels vernomen dat het bij productontwikkeling ligt.