Skonfiguruj Windows Hello za pomocą kluczy FIDO2 w domu

Jeśli masz dość niekończących się haseł i chcesz bezproblemowo zwiększyć bezpieczeństwo swojego komputera, skonfigurowanie usługi Windows Hello w domu z kluczami FIDO2 to jedna z najlepszych rzeczy, jakie możesz teraz zrobić. W domu, gdzie często pozostawiamy otwarte sesje lub używamy słabych haseł, przejście na logowanie bezhasłowe znacząco zwiększa bezpieczeństwo i wygodę.

Dobra wiadomość jest taka, że ​​wszystkie technologie, których firmy używają do ochrony swoich kont (Microsoft Entra ID, klucze bezpieczeństwa FIDO2, hasła itp.), można również stosować na komputerach domowych z systemem Windows 10 i Windows 11. Wystarczy zrozumieć, czym jest klucz FIDO2, jaki jest jego związek z funkcją Windows Hello i jakie są jego ograniczenia, gdy nie pracujesz w środowisku korporacyjnym, aby uniknąć nieprzyjemnych niespodzianek podczas logowania.

Czym jest klucz FIDO2 i jaką ma współpracę z funkcją Windows Hello?

Klucze FIDO2 to w zasadzie fizyczne, bezhasłowe urządzenia uwierzytelniające , które zastępują typową kombinację nazwy użytkownika i hasła. Zazwyczaj występują w formie klucza USB lub urządzenia NFC i są łączone z lokalnym kodem PIN lub gestem biometrycznym (na przykład dotknięciem czujnika), aby potwierdzić, że to Ty ich używasz.

Technologia ta jest standaryzowana przez FIDO Alliance za pośrednictwem WebAuthn i CTAP i opiera się na kryptografii klucza publicznego: część prywatna jest przechowywana i chroniona na kluczu lub urządzeniu, a część publiczna jest rejestrowana w usłudze (Microsoft, Twojej uczelni, Twojej firmie, banku itp.). Zapobiega to kradzieży haseł i ich ponownemu wykorzystaniu na innych stronach internetowych.

Windows Hello działa jako lokalna warstwa uwierzytelniania w systemie Windows . To system, który umożliwia odblokowanie komputera za pomocą twarzy, odcisku palca, kodu PIN lub, w nowszych wersjach, kluczy dostępu zapisanych na samym urządzeniu. Połączenie Windows Hello z kluczami FIDO2 umożliwia korzystanie z komputera do:

• Zaloguj się do samego systemu Windows za pomocą klucza FIDO2 (bardzo typowe w firmach, których urządzenia są powiązane z Microsoft Entra ID).
• Uwierzytelniaj się na stronach internetowych i w aplikacjach które obsługują FIDO2/klucze dostępu (Microsoft, Google, banki itp.).

W środowisku domowym klucz FIDO2 służy zazwyczaj przede wszystkim do logowania się do usług online , a w niektórych bardziej zaawansowanych przypadkach także do logowania się do samego systemu Windows, jeśli komputer jest powiązany z kontem Microsoft lub kontem Microsoft Login i aktywowano odpowiednie zasady.

Wymagania i ograniczenia dotyczące korzystania z kluczy FIDO2 w systemach Windows 10 i Windows 11

Zanim pobiegniesz kupić klucz sprzętowy i podłączyć go do komputera, warto zapoznać się z wymaganiami technicznymi i pewnymi praktycznymi ograniczeniami, które dotyczą zarówno firm, jak i użytkowników domowych . Nawet jeśli nie planujesz konfigurować Intune ani zasad grupowych w domu, i tak będziesz podlegać wielu z tych ograniczeń.

Jeśli chodzi o system operacyjny, aby system Windows działał płynnie z FIDO2, zaleca się, aby komputer działał pod kontrolą systemu Windows 10 w wersji 1903 lub nowszej (w praktyce obecnie prawie wszyscy korzystają co najmniej z wersji 1909) lub Windows 11. W przypadku urządzeń połączonych z hybrydowym identyfikatorem Microsoft Entra ID wymagany jest system Windows 10 w wersji 2004 lub nowszej, który jest bardziej typowy dla zastosowań biznesowych niż domowych.

Istnieje cała lista scenariuszy, w których klucze FIDO2 nie są obsługiwane lub działają tylko częściowo . Mogą one mieć wpływ także na wykonywanie bardziej zaawansowanych czynności w domu:

• Logowanie się do urządzenia z systemem Windows lub odblokowywanie go przy użyciu klucza dostępu zapisanego w aplikacji Microsoft Authenticator, tak jakby był to klucz bezpośredniego dostępu do systemu, nie jest obsługiwane.
• Czyste środowiska Active Directory lokalnie (tylko domena lokalna, bez logowania Microsoft) nie są zgodne z logowaniem Windows przy użyciu FIDO2 bez specjalnej konfiguracji.
• Scenariusze pulpitu zdalnego RDP, VDI lub Citrix Biorą pod uwagę jedynie FIDO2 z pewnymi mechanizmami przekierowania WebAuthn; nie jest to transparentne.
• Użycie kluczy FIDO2 nie jest obsługiwane dla S / MIME ani do wykonywania akcji typu „Uruchom jako” w systemie Windows.
• Nie można zalogować się bezpośrednio do serwerów Windows, korzystając wyłącznie z klucza FIDO2, tak jakby był to certyfikat karty inteligentnej.
• Jeśli nie zalogowałeś się do urządzenia za pomocą klucza bezpieczeństwa, będąc online, nie możesz oczekiwać, że uda ci się go odblokować, będąc offline.
• Jeśli użyjesz tego samego hasła, będzie ono powiązane z wieloma zarejestrowanymi kontami. System Windows będzie miał tendencję do używania najnowszej dodanej wersji do odblokowania urządzenia, chociaż w WebAuthn przeglądarka pozwala na wybór konkretnego konta.
• Urządzenia z Windows 10 w wersji 1809 Nie pozwalają na odblokowanie kluczem FIDO2; aby korzystać z funkcji, należy użyć wersji 1903 lub wyższej.

W świecie online firma Microsoft wymaga, aby przed zarejestrowaniem klucza FIDO2 jako metody uwierzytelniania bezhasłowego w Microsoft Entra ID użytkownik przeprowadził uwierzytelnianie wieloskładnikowe (MFA) w ciągu ostatnich pięciu minut . W przypadku użytkownika domowego oznacza to, że przy pierwszym powiązaniu klucza z kontem konieczne będzie uwierzytelnienie dwuskładnikowe (aplikacja Authenticator, SMS, połączenie telefoniczne itp.).

Jak zarejestrować i używać klucza FIDO2 na swoim koncie (online i na komputerze)

Jeśli korzystasz z konta Microsoft (Outlook, Xbox , OneDrive itp.) lub konta firmowego/edukacyjnego opartego na Microsoft Entra ID, kluczowy proces konfiguracji jest bardzo podobny. Istota jest zawsze taka sama: zaloguj się, dodaj metodę FIDO2 i postępuj zgodnie z instrukcjami kreatora przeglądarki.

W portalach firmy Microsoft typowy proces , który można powtórzyć w domu, wygląda następująco:

• Uzyskaj dostęp do obszaru bezpieczeństwo Twojego kontana przykład z account.microsoft.com lub z mysignins.microsoft.com/security-info.
• Kliknij Dodaj metodę logowania o Dodaj metodę.
• Wybierz Klucz bezpieczeństwa o Klucz bezpieczeństwa (FIDO2) w menu rozwijanym i kontynuuj.
• Proszę wskazać, czy Twoje urządzenie jest USB o NFCw zależności od posiadanego klucza.
• Postępuj zgodnie z instrukcjami wyświetlanymi przez przeglądarkę: podłącz pamięć USB, zbliż klucz NFC, dotknij czujnika, wprowadź kod PIN itd.
• Na końcu procesu przypisz rozpoznawalna nazwa do klucza (na przykład „klucz domowy USB” lub „przenośny FIDO2 NFC”).

Po zakończeniu konfiguracji klucz FIDO2 będzie dostępny jako metoda logowania bez hasła w przeglądarkach takich jak Edge, Chrome czy Firefox w systemach Windows 10/11 i innych (macOS, Android , iOS ), o ile obsługują one FIDO2/WebAuthn. Jeśli Twój komputer z systemem Windows jest zarządzany przez organizację, możesz nawet zalogować się do niego za pomocą klucza, o ile dział IT włączył tę funkcję.

Z perspektywy systemowej klucz bezpieczeństwa działa jako metoda uwierzytelniania dwuskładnikowego , podobnie jak inne metody, takie jak uwierzytelnianie za pomocą aplikacji, wiadomości SMS czy połączeń telefonicznych. Jednak w przeciwieństwie do wiadomości e-mail czy pytań bezpieczeństwa, klucze FIDO2 nie służą do resetowania haseł, lecz stanowią silny mechanizm uwierzytelniania.

Zarządzanie kluczami FIDO2 z poziomu usługi Windows Hello na komputerze domowym

System Windows integruje dedykowaną sekcję do zarządzania kluczami bezpieczeństwa FIDO2 w aplikacji Ustawienia . Jest to niezwykle przydatne w domu, np. do zmiany kodu PIN, resetowania klucza w przypadku oddania go komuś innemu lub upewnienia się, że nikt inny nie będzie mógł go ponownie użyć z Twoimi kontami.

Standardową metodą w systemach Windows 10 i Windows 11 jest przejście do Ustawienia > Konta > Opcje logowania > Klucz bezpieczeństwa i kliknięcie Zarządzaj . Następnie system poprosi o włożenie nośnika USB lub przytrzymanie go w pobliżu czytnika NFC w celu weryfikacji tożsamości.

Z tego panelu, postępując zgodnie ze szczegółowymi instrukcjami producenta (YubiKey, Feitian itp.), możesz przywrócić ustawienia fabryczne klucza . Spowoduje to usunięcie wszystkich informacji o koncie zapisanych na urządzeniu fizycznym, dzięki czemu będzie ono gotowe do ponownego uruchomienia lub przekazania komuś innemu bez ryzyka.

Ten sam kreator umożliwia również utworzenie nowego kodu PIN dla klucza lub zmianę istniejącego. Wprowadź nowy kod PIN dwukrotnie, potwierdź i od tego momentu każda operacja z użyciem tego klucza FIDO2 (logowanie do Microsoft, firmy itp.) będzie wymagała zaktualizowanego kodu PIN.

Jeśli zgubisz klucz bezpieczeństwa lub stwierdzisz, że nie jest Ci już potrzebny, koniecznie usuń go z listy metod uwierzytelniania na swoim koncie, oprócz jego fizycznego usunięcia . W portalu zabezpieczeń Microsoft wystarczy wyszukać klucz, kliknąć „Usuń”, potwierdzić i gotowe: nawet jeśli ktoś znajdzie klucz, nie będzie mógł go użyć do uzyskania dostępu do Twojego konta.

Windows Hello, PIN i typowe wątpliwości w środowisku domowym

Wielu użytkowników korzystających z konta lokalnego w systemie Windows spotyka się z tym samym pytaniem: „Aktywowałem Windows Hello za pomocą kodu PIN, aby móc korzystać z FIDO2 w witrynach internetowych, ale teraz ekran blokady zawsze prosi o podanie kodu PIN, a nie hasła . Czy można używać Hello tylko w witrynach internetowych, a nie do logowania się do systemu Windows?”

W obecnym systemie Windows kod PIN usługi Windows Hello jest przeznaczony jako podstawowa metoda logowania lokalnego . Chociaż kod ten jest ważny tylko na komputerze (nie jest przesyłany przez internet), w praktyce po aktywacji system Windows ma priorytet nad hasłem do konta lokalnego lub konta Microsoft.

Nie ma natywnej, prostej i obsługiwanej przez firmę Microsoft opcji, która poleciłaby systemowi: „Używaj kodu PIN i usługi Windows Hello dla FIDO2 w przeglądarkach, ale nie pokazuj tej opcji na ekranie logowania systemu Windows ”. Jeśli chcesz, aby kod PIN nie pojawiał się jako pierwsza metoda, rozwiązaniem jest całkowite wyłączenie go jako metody logowania, co z kolei ogranicza lub komplikuje zintegrowane korzystanie z usługi Hello z pewnymi kluczami dostępu.

W środowiskach korporacyjnych stosuje się bardziej zaawansowane kombinacje zasad uwierzytelniania i dostępu warunkowego, ale na komputerze domowym interfejs logowania zawsze będzie pokazywał włączone dane uwierzytelniające (kod PIN, hasło, funkcję rozpoznawania twarzy Windows Hello itd.). Jeśli kod PIN jest skonfigurowany, system Windows umieszcza go na pierwszym planie.

Jak firmy umożliwiają logowanie FIDO2 (i co może Cię zainteresować w domu)

Nawet jeśli nie zamierzasz wdrażać Intune lub Microsoft Entra na dużą skalę w swoim salonie, zrozumienie sposobu, w jaki robią to organizacje, pomoże Ci zrozumieć, dlaczego Twój komputer zachowuje się w określony sposób, gdy podłączysz go do konta firmowego lub edukacyjnego albo gdy uczelnia pożyczy Ci zarządzanego laptopa.

Organizacje mają kilka sposobów na włączenie logowania za pomocą klucza FIDO2 w systemie Windows:

• Microsoft IntuneW Centrum administracyjnym, w obszarze Urządzenia > Rejestrowanie urządzeń > Rejestracja systemu Windows > Windows Hello dla firm, możesz ustawić opcję „Użyj kluczy zabezpieczeń do logowania” na Włączone.
• Niestandardowe profile IntuneTworząc profil typu „Niestandardowy” dla systemu Windows 10 lub nowszego, dodając OMA-URI ./Device/Vendor/MSFT/PassportForWork/SecurityKey/UseSecurityKeyForSignin Wartość całkowita równa 1 powoduje wymuszenie użycia FIDO2 podczas logowania.
• Pakiety aprowizacyjneZa pomocą narzędzia Projektant konfiguracji systemu Windows można wygenerować pakiet .ppkg, który ustawia opcję WindowsHelloForBusiness > SecurityKeys > Użyj klucza bezpieczeństwa do logowania Włączone. Ten pakiet jest następnie stosowany do urządzeń, które nie są zarządzane przez Intune.
• Zasady grupy (GPO)Na urządzeniach podłączonych do hybrydowego logowania Microsoft, zasada „Włącz logowanie za pomocą klucza bezpieczeństwa” w obszarze Konfiguracja komputera > Szablony administracyjne > System > Logowanie kontroluje, czy logowanie za pomocą FIDO2 jest dozwolone. Wymaga zaktualizowanych szablonów (najnowszego pliku CredentialProviders.admx).

Dla przeciętnego użytkownika domowego wszystkie te informacje są przydatne przede wszystkim ze względu na fakt, że laptop pochodzący z firmy lub uniwersytetu może być już wstępnie skonfigurowany do logowania się za pomocą FIDO2 na ekranie blokady. I odwrotnie, na komputerze osobistym, bez Intune lub zasad grupy, nie znajdziesz tak precyzyjnych opcji pozwalających określić, jak dokładnie FIDO2 ma być zintegrowane z kontem lokalnym.

Zaawansowana konfiguracja klucza dostępu i kontrola wzorca klucza

W środowiskach profesjonalnych zarządzanie kluczami FIDO2 wykracza daleko poza proste podłączenie klucza. Za pomocą Centrum administracyjnego Microsoft Entra i Microsoft Graph można zdefiniować bardzo szczegółowe zasady dotyczące tego, które klucze dostępu są dozwolone, jak są rejestrowane i które konkretne modele są akceptowane.

Włączając metodę uwierzytelniania „klucz bezpieczeństwa (FIDO2)” w Microsoft Entra, administratorzy mogą :

• Włącz lub wyłącz globalne użycie FIDO2.
• Zezwól lub zablokuj konfiguracja samoobsługowa przez użytkownika; jeśli wyłączone, tylko administrator może rejestrować klucze w imieniu użytkownika.
• Popyt zaświadczenieWymaga to potwierdzenia za pomocą klucza FIDO2 (AAGUID – Authenticator Attestation GUID), że jest to legalny model od zatwierdzonego producenta.
• Zastosuj dyrektywa dotycząca kluczowych ograniczeń gdzie zdefiniowano, które identyfikatory AAGUID są dozwolone lub blokowane (np. tylko klucze RSA DS100 lub określone modele innych producentów).

W rzeczywistości każdy klucz FIDO2 ma 128-bitowy identyfikator AAGUID , który identyfikuje markę i model. Można go znaleźć w dokumentacji producenta, w publicznych listach Microsoftu lub przeglądając szczegóły metody uwierzytelniania użytkownika, który ma już zarejestrowany klucz.

Ponadto Microsoft Graph udostępnia interfejsy API (obecnie w wersji zapoznawczej dla niektórych funkcji), które umożliwiają organizacjom dostarczanie kluczy FIDO2 w imieniu użytkowników : żądane jest polecenie creationOptions WebAuthn , klucz jest przesyłany przez CTAP w celu wygenerowania poświadczeń, a następnie wyjście jest rejestrowane w programie Microsoft Entra. Eliminuje to konieczność ręcznego wykonywania tego procesu przez użytkownika.

Mimo że jako użytkownik domowy nie będziesz mieć do czynienia ze wszystkimi tymi kwestiami, to jednak mają one na Ciebie pośredni wpływ: dzięki tym kontrolom wiele firm akceptuje wyłącznie zweryfikowane i bezpieczne klucze FIDO2 , co przyczyniło się do powstania ekosystemu bardziej niezawodnych urządzeń, które są mniej podatne na awarie lub mają poważne luki w zabezpieczeniach.

Klucze dostępu, przyszłość bez haseł i co to oznacza dla usługi Windows Hello w domu

Oprócz tradycyjnego stosowania fizycznych kluczy FIDO2, Microsoft intensywnie promuje koncepcję kluczy dostępu jako standardu logowania bez hasła . Firma ogłosiła, że ​​od maja 2025 roku nowe konta Microsoft będą domyślnie tworzone bez hasła, a zamiast tego będą opierać się na kluczach dostępu i uwierzytelnianiu biometrycznym.

Zmianie tej towarzyszyła symboliczna zmiana: dotychczasowy „Światowy Dzień Haseł” przemianowano na „Światowy Dzień Kluczy Dostępowych ”. Nie jest to tylko kwestia marketingu: od 2015 r., kiedy to w pierwszych urządzeniach Surface pojawiła się funkcja Windows Hello, Microsoft realizuje jasny cel: zakończenie polegania na tradycyjnych hasłach.

Klucze dostępu to w zasadzie bezpieczne klucze cyfrowe, które łączą kryptografię asymetryczną i uwierzytelnianie biometryczne . Klucz prywatny pozostaje na urządzeniu (w module TPM lub bezpiecznej strefie oprogramowania), a klucz publiczny jest rejestrowany w każdej usłudze. Aby się zalogować, usługa wysyła wyzwanie, urządzenie podpisuje je kluczem prywatnym, a serwer weryfikuje podpis za pomocą klucza publicznego. Twoje odciski palców ani twarz nigdy nie opuszczają urządzenia.

W porównaniu z tradycyjnymi hasłami klucze dostępu oferują wyraźne korzyści: skuteczność hasła przy pierwszej próbie sięgającą 98% w porównaniu z około 32% w przypadku haseł , logowanie nawet osiem razy szybsze, wrodzoną odporność na phishing (działają tylko w odpowiedniej domenie) i eliminację problemu ponownego wykorzystywania haseł na wielu stronach internetowych.

W systemie Windows 11 system operacyjny pełni funkcję zintegrowanego menedżera kluczy dostępu . Możesz przechowywać klucze do kompatybilnych usług, używać ich z funkcją Windows Hello (rozpoznawanie twarzy, odcisk palca, kod PIN) i korzystać z synchronizacji między urządzeniami w ekosystemie Microsoft. To idealne rozwiązanie do użytku domowego: logujesz się raz na swoje konto Microsoft, aktywujesz klucze dostępu, a od tego momentu wiele usług nie będzie już wymagało haseł.

Doświadczenia użytkownika, zalety i wyzwania w użytkowaniu domowym

Z codziennego punktu widzenia, główną zaletą połączenia funkcji Windows Hello, kluczy FIDO2 i haseł w środowisku domowym jest minimalizacja konieczności wpisywania danych. Twoja twarz, odcisk palca lub krótki lokalny kod PIN zastępują niekończące się ciągi znaków nietypowymi symbolami .

Dane Microsoftu są jednoznaczne: klucze dostępu oferują znacznie wyższy wskaźnik powodzenia przy pierwszej próbie niż hasła. Przekłada się to na mniej błędów, mniej blokad kont i mniej sytuacji typu „nie pamiętam hasła, którego użyłem”.

Dla użytkowników mniej technicznych, osób starszych lub po prostu tych, którzy nie lubią komplikacji, to bardzo dobre rozwiązanie. Nie ma czego zapamiętywać , absurdalne zasady zmiany haseł co kilka dni należą już do przeszłości, a ryzyko padnięcia ofiarą oszustw phishingowych jest drastycznie zmniejszone, ponieważ nawet jeśli klikniesz fałszywy link, hasło nie zadziała w danej domenie.

Wyzwania leżą bardziej w sferze praktycznej: klucze dostępu i FIDO2 zależą od urządzenia. Jeśli zgubisz telefon lub laptop, na którym przechowywane są klucze, potrzebujesz metod odzyskiwania i urządzeń zapasowych . Co więcej, niektóre starsze usługi nadal nie obsługują FIDO2, więc w pewnych przypadkach będziesz zmuszony nadal używać tradycyjnych haseł.

Microsoft, FIDO Alliance i inni wiodący dostawcy pracują nad ulepszeniem synchronizacji haseł w chmurze i edukują użytkowników końcowych w zakresie działania tego modelu. W praktyce, każdego dnia na kontach Microsoft rejestrowanych jest prawie milion nowych haseł , co świadczy o wyraźnym wzroście popularności i zmniejszeniu liczby tradycyjnych haseł w najbliższej przyszłości.

Cały ten ruch wokół Windows Hello, kluczy FIDO2 i haseł sprawia, że ​​możemy cieszyć się bezpieczeństwem bardzo zbliżonym do tego, jakie oferuje duża firma, nawet w warunkach domowych, ale bez komplikacji : kilka kliknięć, aby zarejestrować klucz lub hasło, lokalny kod PIN lub twarz do uwierzytelnienia i koniec z bólem głowy związanym ze zwykłymi hasłami.