Konfigurer Windows Hello med FIDO2-nøkler hjemme

Hvis du er lei av endeløse passord og ønsker å gjøre PC-en din sikrere uten problemer, er det å sette opp Windows Hello hjemme med FIDO2-nøkler noe av det beste du kan gjøre akkurat nå. I et hjemmemiljø, hvor vi ofte lar øktene våre være åpne eller bruker svake passord, utgjør det en stor forskjell for sikkerhet og bekvemmelighet å bytte til passordløs pålogging.

Den gode nyheten er at all teknologiselskapene bruker for å beskytte kontoene sine (Microsoft Entra ID, FIDO2-sikkerhetsnøkler, passord osv.) også kan brukes på hjemmedatamaskiner som kjører Windows 10 og Windows 11. Du trenger bare å forstå hva en FIDO2-nøkkel er, hvordan den forholder seg til Windows Hello, og dens begrensninger når du ikke er i et bedriftsmiljø, slik at du ikke støter på noen ubehagelige overraskelser når du logger inn.

Hva er en FIDO2-nøkkel, og hvordan passer den med Windows Hello?

FIDO2-nøkler er i hovedsak fysiske, passordløse autentiseringsenheter som erstatter den typiske brukernavn- og passordkombinasjonen. De kommer vanligvis i form av en USB- nøkkel eller NFC-enhet og kombineres med en lokal PIN-kode eller en biometrisk gest (for eksempel å berøre en sensor) for å bekrefte at det er du som bruker dem.

Den underliggende teknologien er standardisert av FIDO Alliance gjennom WebAuthn og CTAP , og er basert på offentlig nøkkelkryptografi: den private delen lagres og beskyttes på nøkkelen eller enheten, og den offentlige delen registreres hos tjenesten (Microsoft, universitetet ditt, bedriften din, en bank osv.). Dette forhindrer at passord blir stjålet eller gjenbrukt på andre nettsteder.

Windows Hello kommer i spill som det lokale autentiseringslaget for Windows . Det er systemet som lar deg låse opp datamaskinen med ansiktet ditt, fingeravtrykket ditt, PIN-koden eller, i nyere versjoner, med passord lagret på selve enheten. Når du kombinerer Windows Hello med FIDO2-nøkler, kan PC-en brukes til begge deler:

• Logg inn på selve Windows ved bruk av en FIDO2-nøkkel (svært vanlig i selskaper med enheter koblet til Microsoft Entra ID).
• Autentiser på nettsteder og i apper som støtter FIDO2 / passord (Microsoft, Google, banker osv.).

I et hjemmemiljø brukes FIDO2-nøkkelen vanligvis primært til å logge på nettjenester og, i noen avanserte tilfeller, til å logge på selve Windows hvis du har koblet datamaskinen til en Microsoft- eller Microsoft-påloggingskonto og aktivert de tilsvarende policyene.

Krav og begrensninger for bruk av FIDO2-nøkler i Windows 10 og Windows 11

Før du skynder deg å kjøpe en dongle og kobler den til PC-en, er det lurt å forstå de tekniske kravene og noen praktiske begrensninger som påvirker både bedrifter og hjemmebrukere . Selv om du ikke planlegger å sette opp Intune eller gruppepolicyer hjemme, vil du fortsatt være underlagt mange av disse begrensningene.

Når det gjelder operativsystemet, anbefales det at datamaskinen kjører Windows 10 versjon 1903 eller nyere (i praksis kjører nesten alle i dag minst 1909) eller Windows 11 for at Windows skal fungere problemfritt med FIDO2. For enheter koblet til Microsoft Entra ID hybrid kreves Windows 10 versjon 2004 eller nyere, noe som er mer typisk for forretningsbruk enn hjemmebruk.

Det finnes en hel liste med scenarier der FIDO2-nøkler ikke støttes eller bare delvis fungerer , og disse påvirker deg også hvis du gjør mer avanserte ting hjemme:

• Det støttes ikke å logge på eller låse opp en Windows-enhet ved hjelp av en tilgangsnøkkel lagret i Microsoft Authenticator som om det var en direkte systemtilgangsnøkkel.
• De rene miljøene til Active Directory lokalt (kun lokalt domene uten Microsoft-pålogging) er ikke kompatible med Windows-pålogging ved bruk av FIDO2 uten spesifikk konfigurasjon.
• Eksternt skrivebord-scenarier RDP, VDI eller Citrix De vurderer bare FIDO2 med visse WebAuthn-omdirigeringsmekanismer; det er ikke gjennomsiktig.
• Bruk av FIDO2-nøkler støttes ikke for S / MIME heller ikke å utføre handlinger av typen «Kjør som» i Windows.
• Du kan ikke logge deg direkte på Windows-servere med bare en FIDO2-nøkkel, som om det var et smartkortsertifikat.
• Hvis du ikke logget på enheten med sikkerhetsnøkkelen din mens du var på nett, kan du ikke forvente å bruke den offline for å låse den opp.
• Hvis det samme passordet brukes, har den flere registrerte kontoer. Windows vil vanligvis bruke den nyeste som er lagt til for å låse opp enheten, selv om nettleseren i WebAuthn lar deg velge den spesifikke kontoen.
• Enheter med Windows 10 versjon 1809 De tillater ikke opplåsing med en FIDO2-nøkkel; du må gå til 1903 eller høyere for en god opplevelse.

På nett krever Microsoft at brukeren må ha utført flerfaktorautentisering (MFA) i løpet av de siste fem minuttene før en FIDO2-nøkkel registreres som en passordløs metode i Microsoft Entra ID . For en hjemmebruker betyr dette at du trenger en ekstra faktor (Authenticator-app, SMS, telefonsamtale osv.) første gang du knytter nøkkelen til kontoen din.

Slik registrerer og bruker du en FIDO2-nøkkel med kontoen din (på nett og på PC)

Hvis du bruker en Microsoft-konto (Outlook, Xbox , OneDrive osv.) eller en Microsoft Entra ID-basert bedrifts-/utdanningskonto, er nøkkeloppsettprosessen veldig lik. Essensen er alltid den samme: logg inn, legg til en FIDO2-metode, og følg nettleserveiviseren.

På Microsoft-portaler er den typiske prosessen du kan replikere hjemme:

• Få tilgang til området til sikkerheten til kontoen din, for eksempel fra account.microsoft.com eller fra mysignins.microsoft.com/security-info.
• Klikk på Legg til påloggingsmetode o Legg til metode.
• velge Sikkerhetsnøkkel o Sikkerhetsnøkkel (FIDO2) i rullegardinmenyen og fortsett.
• Vennligst angi om enheten din er USB o NFCavhengig av hvilken nøkkel du har.
• Følg instruksjonene fra nettleseren: sett inn USB-nøkkelen, før NFC-nøkkelen inntil deg, berør sensoren, skriv inn PIN-koden osv.
• På slutten av prosessen, tildel en gjenkjennelig navn til nøkkelen (for eksempel «USB-hjemnøkkel» eller «FIDO2 NFC bærbar»).

Når oppsettet er fullført, vil FIDO2-nøkkelen din være tilgjengelig som en passordløs påloggingsmetode fra nettlesere som Edge, Chrome eller Firefox, på Windows 10/11 og andre systemer (macOS, Android , iOS ), så lenge de støtter FIDO2/WebAuthn. Hvis Windows-datamaskinen din administreres av en organisasjon, kan du til og med logge på den PC-en med nøkkelen, forutsatt at IT-avdelingen har aktivert den.

Fra et systemperspektiv fungerer sikkerhetsnøkkelen som en tofaktorautentiseringsmetode , i likhet med andre metoder som appautentisering, SMS-meldinger eller telefonsamtaler. I motsetning til e-post eller sikkerhetsspørsmål brukes imidlertid ikke FIDO2-nøkler til å tilbakestille passord, men snarere som en sterk autentiseringsmekanisme.

Administrere FIDO2-nøkler fra Windows Hello på en hjemme-PC

Windows har en egen seksjon for administrasjon av FIDO2-sikkerhetsnøkler i Innstillinger-appen . Dette er utrolig nyttig hjemme for å endre PIN-koden, tilbakestille nøkkelen hvis du gir den bort, eller sørge for at ingen kan bruke den på nytt med kontoene dine.

Standardmetoden i Windows 10 og Windows 11 er å gå til Innstillinger > Kontoer > Påloggingsalternativer > Sikkerhetsnøkkel og klikke på Administrer . Derfra vil systemet be deg om å sette inn USB-nøkkelen eller holde den i nærheten av NFC-leseren for å bekrefte identiteten din.

Fra det panelet kan du tilbakestille nøkkelen til fabrikkinnstillingene ved å følge produsentens spesifikke instruksjoner (YubiKey, Feitian osv.). Dette sletter all kontoinformasjon som er lagret på den fysiske enheten, slik at den er klar til å starte på nytt eller gis til noen andre uten risiko.

Den samme veiviseren gir deg også muligheten til å opprette en ny PIN-kode for nøkkelen eller endre den eksisterende. Skriv inn den nye PIN-koden to ganger, bekreft, og fra det øyeblikket vil enhver operasjon med den FIDO2-nøkkelen (pålogging til Microsoft, bedriften din osv.) kreve den oppdaterte PIN-koden.

Hvis du mister en sikkerhetsnøkkel eller bestemmer deg for at du ikke lenger trenger den, er det viktig at du, i tillegg til å fysisk slette den hvis du ønsker det, fjerner den fra kontoens liste over autentiseringsmetoder . I Microsofts sikkerhetsportal søker du bare etter nøkkelen, klikker på «Slett», bekrefter, og du er ferdig: selv om noen finner nøkkelen, vil de ikke lenger kunne bruke den til å få tilgang til kontoen din.

Windows Hello, PIN-kode og den typiske tvilen i hjemmemiljøer

Mange brukere som bruker en lokal konto på Windows støter på det samme spørsmålet: «Jeg aktiverte Windows Hello med en PIN-kode slik at jeg kunne bruke FIDO2 på nettsteder, men nå ber låseskjermen alltid om PIN-koden min og ikke passordet mitt . Er det mulig å bruke Hello bare for nettsteder og ikke for å logge på Windows? »

I den nåværende Windows-designen er Windows Hello PIN-koden ment som den primære metoden for lokal pålogging . Selv om det er sant at denne PIN-koden bare er gyldig på datamaskinen din (den sendes ikke over internett), prioriterer Windows den i praksis over passordet for den lokale kontoen din eller Microsoft-kontoen din når den er aktivert.

Det finnes ikke noe innebygd, enkelt og Microsoft-støttet alternativ som forteller systemet: «Bruk PIN og Windows Hello for FIDO2 i nettlesere, men ikke vis det som et alternativ på Windows-påloggingsskjermen .» Hvis du vil forhindre at PIN-koden vises som den første metoden, er løsningen å deaktivere den fullstendig som en påloggingsmetode, noe som igjen begrenser eller kompliserer den integrerte bruken av Hello med visse tilgangsnøkler.

I bedriftsmiljøer brukes mer avanserte kombinasjoner med autentiseringspolicyer og betinget tilgang, men på en hjemme-PC vil innloggingsgrensesnittet alltid vise deg den aktiverte legitimasjonen (PIN, passord, Windows Hello ansiktsgjenkjenning osv.), og hvis PIN-koden er konfigurert, plasserer Windows den i sentrum av designen.

Hvordan bedrifter aktiverer FIDO2-pålogging (og hva du kanskje er interessert i hjemmefra)

Selv om du ikke skal distribuere Intune eller Microsoft Entra i stor skala i stuen din, hjelper det deg å forstå hvordan organisasjoner gjør det hvorfor PC-en din oppfører seg på en bestemt måte når du kobler den til en bedrifts- eller utdanningskonto , eller når universitetet låner deg en administrert bærbar PC.

Organisasjoner har flere måter å aktivere FIDO2-nøkkelpålogging på Windows:

• Microsoft IntuneFra administrasjonssenteret, under Enheter > Registrer enheter > Windows-registrering > Windows Hello for bedrifter, kan du sette alternativet «Bruk sikkerhetsnøkler for pålogging» til Aktivert.
• Tilpassede Intune-profilerVed å opprette en "Tilpasset" profil for Windows 10 eller nyere, legge til OMA-URI ./Device/Vendor/MSFT/PassportForWork/SecurityKey/UseSecurityKeyForSignin Med en heltallsverdi på 1, tvinges bruk av FIDO2 ved innlogging.
• KlargjøringspakkerVed hjelp av Windows Configuration Designer-verktøyet kan du generere en .ppkg-pakke som angir alternativet WindowsHelloForBusiness > Sikkerhetsnøkler > BrukSikkerhetsnøkkelForPålogging Aktivert. Denne pakken brukes deretter på enheter som ikke administreres av Intune.
• Gruppepolicy (GPO)På enheter som er koblet til Microsoft Hybrid Login, styrer policyen «Aktiver pålogging med sikkerhetsnøkkel» under Datamaskinkonfigurasjon > Administrative maler > System > Pålogging om pålogging med FIDO2 er tillatt eller ikke. Krever oppdaterte maler (nylig CredentialProviders.admx).

For den gjennomsnittlige hjemmebrukeren er alt dette hovedsakelig nyttig for å forstå at hvis en bærbar PC kommer "fra fabrikken" fra bedriften eller universitetet ditt, kan den allerede være forhåndskonfigurert til å tillate FIDO2-pålogging på låseskjermen. Og omvendt, på din personlige PC, uten Intune eller Group Policy, vil du ikke finne slike finjusterte alternativer for å bestemme nøyaktig hvordan FIDO2 integreres med din lokale konto.

Avansert passordkonfigurasjon og nøkkelmønsterkontroll

I profesjonelle miljøer går FIDO2-nøkkeladministrasjon langt utover å bare sette inn nøkkelen. Gjennom Microsoft Entra Admin Center og Microsoft Graph kan du definere svært detaljerte retningslinjer for hvilke tilgangsnøkler som er tillatt, hvordan de logges og hvilke spesifikke modeller som aksepteres.

Ved å aktivere autentiseringsmetoden «sikkerhetsnøkkel (FIDO2)» i Microsoft Entra, kan administratorer :

• Aktiver eller deaktiver global bruk av FIDO2.
• Tillat eller blokker selvbetjeningskonfigurasjon av brukeren; hvis deaktivert, kan bare administratoren registrere nøkler på vegne av brukeren.
• Kreve attestasjonDette krever at FIDO2-nøkkelen beviser, gjennom sin AAGUID (Authenticator Attestation GUID), at det er en legitim modell fra en godkjent produsent.
• Påfør en direktivet om viktige restriksjoner der det er definert hvilke AAGUID-er som er tillatt eller blokkert (f.eks. bare RSA DS100-nøkler eller spesifikke modeller fra andre produsenter).

Bak kulissene har hver FIDO2-nøkkel en 128-bits AAGUID- identifikator som identifiserer merke og modell. Denne finner du i produsentens dokumentasjon, i Microsofts offentlige lister eller ved å se gjennom autentiseringsmetodedetaljene til en bruker som allerede har registrert nøkkelen.

I tillegg eksponerer Microsoft Graph API-er (for øyeblikket i forhåndsvisning for noen funksjoner) som lar organisasjoner klargjøre FIDO2-nøkler på vegne av brukere : creationOptions WebAuthn forespurt , nøkkelen kommuniseres via CTAP for å generere legitimasjonen, og deretter logges avslutningen med Microsoft Entra. Dette eliminerer behovet for at brukeren må utføre prosessen manuelt.

Selv om du som hjemmebruker ikke kommer til å berøre alt dette, påvirker det deg indirekte: takket være disse kontrollene godtar mange selskaper bare verifiserte og sikre FIDO2-nøkler , noe som har fremmet et økosystem av mer robuste enheter som har mindre sannsynlighet for å feile eller ha alvorlige sårbarheter.

Tilgangsnøkler, en passordløs fremtid og hva det betyr for Windows Hello hjemme

Ved siden av den tradisjonelle bruken av fysiske FIDO2-nøkler, promoterer Microsoft sterkt konseptet med passordnøkler som standard for passordløs pålogging . Fra mai 2025 har selskapet annonsert at nye Microsoft-kontoer vil bli opprettet uten passord som standard, og i stedet vil være avhengige av passordnøkler og biometrisk autentisering.

Denne endringen har til og med blitt ledsaget av et symbolsk skifte: den tidligere «Verdenspassorddagen» har blitt omdøpt til «Verdenspassorddagen ». Det er ikke bare markedsføring: siden 2015, med ankomsten av Windows Hello på de første Surface-enhetene, har Microsoft forfulgt et klart mål: å avslutte avhengigheten av tradisjonelle passord.

Passord er i hovedsak sikre digitale nøkler som kombinerer asymmetrisk kryptografi og biometrisk autentisering . Den private nøkkelen forblir på enheten din (i TPM eller en sikker programvaresone), og den offentlige nøkkelen registreres hos hver tjeneste. For å logge inn sender tjenesten en utfordring, enheten signerer den med den private nøkkelen, og serveren bekrefter signaturen med den offentlige nøkkelen. Fingeravtrykkene eller ansiktet ditt forlater aldri enheten.

Sammenlignet med tradisjonelle passord tilbyr passord klare fordeler: suksessrater ved første forsøk på nesten 98 % mot rundt 32 % med passord , innlogging opptil åtte ganger raskere, innebygd motstand mot phishing (de fungerer bare på riktig domene) og eliminering av problemet med å bruke passord på flere nettsteder.

I Windows 11 fungerer operativsystemet som en integrert passordbehandler . Du kan lagre nøkler for kompatible tjenester, bruke dem med Windows Hello (ansikt, fingeravtrykk, PIN) og dra nytte av synkronisering på tvers av enheter i Microsofts økosystem. Dette er ideelt for hjemmebruk: du logger deg på Microsoft-kontoen din én gang, aktiverer passord, og fra da av vil mange tjenester ikke lenger kreve passord.

Brukeropplevelse, fordeler og utfordringer ved hjemmebruk

Fra et daglig perspektiv er hovedfordelen med å kombinere Windows Hello, FIDO2-nøkler og passord i et hjemmemiljø at du minimerer antall ganger du må skrive noe. Ansiktet ditt, fingeravtrykket eller en kort lokal PIN-kode erstatter endeløse tegnstrekninger med uvanlige symboler .

Dataene fra Microsoft er ganske klare: passord gir en betydelig høyere suksessrate ved første forsøk enn passord. Dette betyr færre feil, færre kontoutestengelser og færre situasjoner med «Jeg husker ikke hvilket passord jeg brukte her».

For mindre tekniske brukere, eldre mennesker, eller rett og slett de som ikke ønsker komplikasjoner, er dette en veldig velkommen løsning. Det er ingenting å memorere , de absurde reglene med å endre passord med noen få dagers mellomrom er en saga blott, og risikoen for å falle for phishing-svindel reduseres drastisk, fordi selv om du klikker på en falsk lenke, vil ikke passordet fungere på det domenet.

Utfordringene ligger mer i den praktiske siden: passord og FIDO2 er enhetsavhengige. Hvis du mister telefonen eller den bærbare datamaskinen der nøklene dine er lagret, trenger du gjenopprettingsmetoder og sikkerhetskopieringsenheter klare. Dessuten støtter noen eldre tjenester fortsatt ikke FIDO2, så du vil bli tvunget til å fortsette å bruke tradisjonelle passord i visse tilfeller.

Microsoft, FIDO-alliansen og andre store leverandører jobber med å forbedre synkronisering av skybaserte passord og lære sluttbrukere hvordan denne modellen fungerer. I praksis registreres nesten én million nye passord på Microsoft-kontoer hver dag , et tegn på at bruken er tydelig økende og at vi vil se færre tradisjonelle passord i nær fremtid.

All denne bevegelsen rundt Windows Hello, FIDO2-nøkler og passord presser oss til å kunne nyte sikkerhet som ligner på den i et stort selskap, selv i et hjemmemiljø, men uten komplikasjoner : et par klikk for å registrere nøkkelen eller passordet, en lokal PIN-kode eller et ansikt for å autentisere, og farvel til hodepinen med de vanlige passordene.