Applies ToWindows 11 Windows 10
Windows Hello — это более личный и безопасный способ входа на устройство с Windows. Вместо пароля с Windows Hello вы можете войти с помощью распознавания лиц, отпечатков пальцев или ПИН-кода.
Эти параметры упрощают и безопаснее вход в компьютер, так как ВАШ ПИН-код связан только с одним устройством и резервную копию для восстановления с учетной записью Майкрософт.
Вы можете использовать приложение «Параметры» для настройки Windows Hello и управления ими.
-
В приложении «Настройки» на устройстве с Windows, выберите Учетные записи > параметры входа или воспользуйтесь следующим сочетанием клавиш:
Параметры входа
-
В разделе Способы входа можно выбрать три варианта входа с помощью Windows Hello:
-
Выберите Распознавание лиц (Windows Hello), чтобы настроить вход с помощью инфракрасной камеры компьютера или внешней инфракрасной камеры.
-
Выберите Распознавание отпечатков пальцев (Windows Hello), чтобы настроить вход с помощью сканера отпечатков пальцев.
-
Выберите ПИН-код (Windows Hello), чтобы настроить вход с помощью ПИН-кода.
Важно: Для входа с помощью лица требуется камера, совместимая с Hello. Для входа с помощью отпечатка пальца на устройстве должно быть устройство считывания отпечатков пальцев.
Если ваше устройство не поставляются с одним из них, вы можете приобрести его, который может быть подключен к вашему устройству через USB у любого из ряда популярных розничных торговцев.
-
-
Выберите параметр , выберите Настроить
-
Следуйте инструкциям, чтобы завершить настройку Windows Hello
Интерфейс входа
При следующем входе на устройство вы можете использовать распознавание лиц, идентификацию отпечатков пальцев или ПИН-код вместо пароля.
Нужна дополнительная помощь?
Нужны дополнительные параметры?
Изучите преимущества подписки, просмотрите учебные курсы, узнайте, как защитить свое устройство и т. д.
Интегрированное в Windows 11 средство Windows Hello предоставляет возможность использовать (по заверению Microsoft) наиболее безопасный и удобный из существующих способ получения быстрого доступа к программным функциям устройств под управлением указанной версии ОС всех выпусков. Активируется и настраивается данная защита системы от несанкционированного использования следующим образом:
- Нажав клавиатурную комбинацию «Win»+«I» или кликнув по значку «Параметры» в меню «Пуск» Виндовс 11 открываем основной по задумке Microsoft инструмент настройки операционной системы.
- Щёлкаем мышкой в расположенной вверху слева окна «Параметров» секции с аватаркой, именем и учёткой текущего пользователя ОС или нажимаем на наименование «Учётные записи» в перечне разделов приложения.
Читайте также: Как изменить имя пользователя Windows 11
- В категории «Параметры учётной записи» из перечня в правой части открывшегося окна кликаем «Варианты входа», —
в результате откроется доступ к включению и настройке целевой в нашем случае функции.
- Прежде чем переходить к активации «Windows Hello», необходимо учесть, что данный способ входа в ОС недоступен для её учётных записей без включённой парольной защиты. Поэтому, если в текущий момент для авторизации в Windows 11 не требуется ввод секретной комбинации символов, её необходимо «Добавить», кликнув в блоке «Пароль – Вход с помощью пароля учётной записи» категории «Способы входа» или другим методом.
Подробнее: Установка пароля на вход в Windows 11
- Основной метод блокировки операционной системы при помощи Windows Hello – это «ПИН-код», задействовать его потребуется обязательно, даже если главной целью является возможность разблокировки Win 11 «по лицу» или отпечатком пальца:
- Кликаем по блоку «PIN-код (Windows Hello)» в перечне «Способы входа» раздела «Варианты входа» «Параметров» Windows,
затем нажимаем на отобразившуюся кнопку «Настройка».
- Подтверждаем пароль своей учётной записи в Виндовс 11, введя его в поле под соответствующим запросом системы, и затем кликнув «OK».
- В следующем окне заполняем поля «Новый ПИН-код» и «Подтверждение ПИН-кода» — по умолчанию это несколько цифр (от 4 до 127).
Стоит отметить, что в секретную комбинацию можно включить и отличные от цифр символы — с целью получения такой возможности устанавливаем галочку в чекбоксе «Включить буквы и символы»,
и затем нажимаем «Требования к ПИН-коду» для отображения
информации об установленных в его отношении ограничениях.
- Заполнив указанные поля, кликаем «ОК»,
после чего наблюдаем изменения в области с элементами взаимодействия с функцией «Вход с помощью ПИН-кода» в «Параметрах» Windows 11. Теперь здесь доступны кнопки «Изменить ПИН-Код» и «Удалить», что, в общем-то, является подтверждением успешной активации Windows Hello в ОС.
- Кликаем по блоку «PIN-код (Windows Hello)» в перечне «Способы входа» раздела «Варианты входа» «Параметров» Windows,
- Далее, при желании и наличии подключённых к компьютеру и поддерживаемых Виндовс Хелоу устройств ввода биометрических данных, можно включить функции «Распознавание лиц» и/или «Распознавание отпечатков пальцев» — кликаем по блоку с наименованием активируемого способа разблокировки ОС, вводим заданный на шаге выше ПИН-код, нажимаем «Добавить» и затем выполняем указания системы.
- На этом всё, в дальнейшем переход с экрана входа (блокировки) Windows 11 к эксплуатации функций ОС, а также отдельные, подразумевающие предоставление пароля от аккаунта Microsoft действия, будут защищёны Windows Hello, а значит, выполнимы
только после ввода PIN-кода или предоставления системе биометрических данных.
Наша группа в TelegramПолезные советы и помощь
Время на прочтение8 мин
Количество просмотров25K
Делимся с вами обзорным материалом про службу Windows Hello, обеспечивающую двухфакторную проверку на Windows 10. Также вы узнаете, чем она будет полезна для крупных компаний, почему стоит выбирать PIN-код, а не пароль и как её настроить.
Windows Hello — что это и зачем?
В Windows 10 служба Windows Hello для бизнеса заменяет пароли на строгую двухфакторную проверку подлинности на компьютерах и мобильных устройствах. Она заключается в создании нового типа учетных данных пользователя в привязке к устройству, использовании биометрических данных или PIN-кода.
В первых версиях Windows 10 были службы Microsoft Passport и Windows Hello, которые обеспечивали многофакторную проверку подлинности. Чтобы упростить развертывание и расширить возможности поддержки, Microsoft объединила эти технологии в единое решение — Windows Hello. Если вы уже выполнили развертывание этих технологий, то вы не заметите никаких изменений в функционировании служб. Для тех, кому еще предстоит оценить работу Windows Hello, выполнить развертывание будет гораздо проще благодаря упрощенным политикам, документации и семантике.
Служба Hello призвана решать типичные проблемы пользователей, возникающие при работе с паролями:
- Пароли могут быть трудны для запоминания, и пользователи часто повторно используют пароли на нескольких сайтах.
- Взломы сервера могут раскрывать симметричные сетевые учетные данные.
- Пароли могут подлежать атакам с повторением пакетов.
- Пользователи могут непреднамеренно предоставить свой пароль вследствие фишинга.
Hello позволяет выполнить проверку подлинности учетной записи Microsoft, учетной записи Active Directory, учетной записи Microsoft Azure Active Directory (Azure AD) и службы поставщика удостоверений или службы проверяющей стороны, которые поддерживают проверку подлинности Fast ID Online (FIDO) v2.0.
После начальной двухэтапной проверки при регистрации на вашем устройстве настраивается служба Hello, и вы сами устанавливаете жест, который может быть как биометрическим, например отпечатком пальца, так и PIN-кодом. Далее необходимо сделать жест для проверки своего удостоверения. После этого Windows использует Hello для проверки подлинности и предоставления им доступа к защищенным ресурсам и службам.
От имени администратора компании или общеобразовательной организации можно создать политики управления Hello для использования на устройствах под управлением Windows 10, которые подключаются к вашей организации.
Разница между Windows Hello и Windows Hello для бизнеса
Windows Hello предназначена для удобного и безопасного входа пользователя. Такое использование Hello обеспечивает отдельный уровень защиты, так как является уникальным для устройства, на котором настраивается, однако проверка подлинности на основе сертификатов при этом отсутствует.
Служба Windows Hello для бизнеса, которая настраивается групповой политикой или политикой MDM, использует проверку подлинности на основе ключа или сертификата.
В настоящее время в учетных записях Active Directory с использованием Windows Hello не поддерживается проверка подлинности на основе ключа или сертификата. Эта функция должна появиться в будущем выпуске.
Почему PIN-код, а не пароль?
Пароли представляют собой общие секреты, они вводятся на устройстве и передаются по сети на сервер. Перехваченные имя и пароль учетной записи могут быть использованы кем угодно. Например, учетные данные могут быть раскрыты при взломе сервера.
В Windows 10, в процессе подготовки, служба Hello создает пару криптографических ключей, привязанных к доверенному платформенному модулю (TPM), если устройство оснащено таким модулем, или в программной реализации. Доступ к этим ключам и получение подписи для проверки того, что пользователь владеет закрытым ключом, предоставляется только при вводе PIN-кода или биометрического жеста. Двухэтапная проверка, которая происходит при регистрации в службе Hello, формирует доверительные взаимоотношения между поставщиком удостоверений и пользователем, когда открытая часть пары «открытый/закрытый ключ» отправляется поставщику удостоверений и связывается с учетной записью пользователя. Когда пользователь выполняет жест на устройстве, поставщик удостоверений определяет по комбинации ключей Hello и жеста, что это проверенное удостоверение, и предоставляет маркер проверки подлинности, с помощью которого Windows 10 получает доступ к ресурсам и службам. Кроме того, в процессе регистрации генерируется претензия по удостоверению для каждого поставщика удостоверений, чтобы криптографически подтвердить, что ключи Hello привязаны к TPM. Если претензия по удостоверению во время регистрации не выставляется поставщику удостоверений, поставщик удостоверений должен предполагать, что ключ Hello создан программно.
Представьте, что кто-то подсматривает через ваше плечо при получении денежных средств из банкомата и видит вводимый вами PIN-код. Наличие этого PIN-кода не поможет им получить доступ к учетной записи, так как у них нет банковской карты. Аналогичным образом перехват PIN-кода для устройства не позволяет злоумышленнику получить доступ к учетной записи, так как PIN-код является локальным для конкретного устройства и не обеспечивает никакого типа проверки подлинности с любого другого устройства.
Hello как раз позволяет защищать удостоверения и учетные данные пользователей. Так как пароли не используются, фишинг и атаки методом подбора становятся бесполезными. Эта технология позволяет также предотвратить взломы серверов, так как учетные данные Hello являются асимметричной парой ключей, что предотвращает атаки с повторяющимися пакетами, так как эти ключи защищены доверенными платформенными модулями (TPM).
Также можно использовать устройства с Windows 10 Mobile в качестве удаленных учетных данных при входе на ПК под управлением Windows 10. В процессе входа в систему ПК под управлением Windows 10 он может подключаться и получать доступ к Hello на вашем устройстве под управлением Windows 10 Mobile по Bluetooth. Поскольку мы всегда носим с собой телефон, Hello позволяет гораздо проще реализовать двухфакторную проверку подлинности.
Функция входа через телефон в данный момент доступна только отдельным участникам программы принятия технологий (TAP).
Так как же PIN-код помогает защитить устройство лучше, чем пароль?
Преимущества PIN-кода в сравнении с паролем связаны не с его структурой (длиной и сложностью), а с принципом работы.
1. PIN-код привязан к устройству. Злоумышленник, получивший доступ к паролю, может войти в учетную запись с любого устройства, но в случае кражи PIN-кода вход в учетную запись будет невозможен без доступа к соответствующему устройству.
2. PIN-код хранится на устройстве локально. Пароль передается на сервер и может быть перехвачен в процессе передачи или украден с сервера. PIN-код задается на устройстве на локальном уровне, не передается и не хранится на сервере. При создании PIN-кода устанавливаются доверительные отношения с поставщиком удостоверений и создается пара асимметричных ключей, используемых для проверки подлинности. При вводе PIN-кода ключ проверки подлинности разблокируется и используется для подтверждения запроса, отправляемого на сервер для проверки подлинности.
3. PIN-код поддерживается оборудованием. PIN-код Hello поддерживается микросхемой доверенного платформенного модуля (TPM), представляющей собой надежный криптографический процессор для выполнения операций шифрования. Эта микросхема содержит несколько механизмов физической защиты для предотвращения взлома, и вредоносные программы не могут обойти функции безопасности TPM. TPM применяется во всех телефонах с Windows 10 Mobile и во многих современных ноутбуках.
Материал ключа пользователя создается и становится доступным в доверенном платформенном модуле (TPM) на устройстве пользователя, что защищает материал от перехвата и использования злоумышленниками. Поскольку технология Hello подразумевает использование пар асимметричных ключей, учетные данные пользователей не будут похищены в случае нарушения безопасности поставщика удостоверений или веб-сайтов, к которым пользователь осуществляет доступ.
TPM защищает от множества известных и потенциальных атак, в том числе атак методом подбора PIN-кода. После определенного количества попыток ввода неправильного PIN-кода устройство блокируется.
4. PIN-код может быть сложным. К PIN-коду Windows Hello для бизнеса применяется тот же набор политик управления ИТ, что и к паролю, в том числе сложность, длина, срок действия и история изменений. Несмотря на уверенность большинства пользователей в том, что PIN-код представляет собой простой код из 4 цифр, администраторы могут устанавливать для управляемых устройств политики, предполагающие уровень сложности PIN-кода, сопоставимый с паролем. Вы можете сделать обязательными или запретить специальные знаки, буквы в верхнем и нижнем регистрах, а также и цифры.
Раздел меню настроек в котором задаются параметры PIN-кода и биометрия:
Что произойдет в случае кражи ноутбука или телефона?
Для нарушения безопасности учетных данных Windows Hello, защищаемых TPM, злоумышленнику нужно осуществить доступ к физическому устройству, найти способ похитить биометрические данные пользователя или подобрать PIN-код. Все это нужно сделать раньше, чем функциональный механизм защиты от взлома TPM заблокирует устройство. Для ноутбуков, не имеющих TPM, можно настроить дополнительную защиту, активировав BitLocker и ограничив количество неудачных попыток входа в систему.
Настройка BitLocker без TPM
С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику:
Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Шифрование диска BitLocker → Диски операционной системы → Требовать дополнительной проверки подлинности при запуске
В параметрах политики выберите Разрешить использование BitLocker без совместимого TPM, а затем нажмите кнопку ОК.
Перейдите в меню Панель управления → Система и безопасность → Шифрование диска BitLocker и выберите диск с операционной системой, который требуется защитить.
С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику: Конфигурация компьютера → Параметры Windows → Параметры безопасности → Политики учетных записей → Политика блокировки учетных записей → Пороговое значение блокировки.
Установите допустимое количество неудачных попыток входа в систему и нажмите ОК.
Как работает Windows Hello для бизнеса: основные положения
1. Учетные данные службы Hello основаны на сертификате или асимметричной паре ключей и привязаны к устройству, как и маркер, получаемый с помощью учетных данных.
2. Поставщик удостоверений (например, Active Directory, Azure AD или учетная запись Майкрософт) проверяет удостоверение пользователя и сопоставляет открытый ключ Hello с учетной записью пользователя на этапе регистрации.
3. Ключи могут генерироваться в аппаратном (TPM 1.2 или 2.0 для предприятий и TPM 2.0 для потребителей) или программном обеспечении на основании политики.
4. Проверка подлинности — это двухфакторная проверка с использованием сочетания ключа или сертификата, привязанного к устройству, и информации, известной пользователю PIN-код), или идентификационных данных пользователя (Windows Hello). Жест Hello не перемещается между устройствами и не предоставляется серверу. Он хранится локально на устройстве.
5. Закрытый ключ никогда не покидает устройство. Проверяющий подлинность сервер имеет открытый ключ, который был сопоставлен с учетной записью пользователя во время регистрации.
6. Ввод PIN-кода и биометрических жестов приводит к проверке удостоверения пользователя в Windows 10 и проверке подлинности с использованием ключей или сертификатов Hello.
7. Личные (учетная запись Майкрософт) или корпоративные учетные записи (Active Directory или Azure AD) использует один контейнер для ключей. Все ключи разделены по доменам поставщиков удостоверений в целях обеспечения конфиденциальности пользователя.
8. Закрытые ключи сертификатов могут быть защищены контейнером Hello и жестом Hello.
Сравнение проверки подлинности на основе ключа и сертификата
Для подтверждения личности служба Windows Hello для бизнеса может использовать ключи (аппаратный или программный) или сертификаты с ключами в аппаратном или программном обеспечении. Предприятия с инфраструктурой открытых ключей (PKI) для выпуска и управления сертификатами могут продолжать использовать PKI вместе со службой Hello. Предприятия, у которых нет PKI или которые хотят сократить объем работ, связанных с управлением сертификатами, могут использовать для службы Hello учетные данные на основе ключа.
Аппаратные ключи, которые создаются модулем TPM, обеспечивают наиболее высокий уровень гарантии. При изготовлении в модуль TPM помещается сертификат ключа подтверждения (EK). Этот сертификат EK создает корневое доверие для всех других ключей, которые генерируются в этом модуле TPM. Сертификация EK используется для генерации сертификата ключа удостоверения подлинности (AIK), выданного службой сертификации Microsoft. Этот сертификат AIK можно использовать как претензию по удостоверению, чтобы доказать поставщикам удостоверений, что ключи Hello генерировались одним и тем же TPM. Центр сертификации Майкрософт (CA) генерирует сертификат AIK для каждого устройства, пользователя и IDP, чтобы гарантировать защиту конфиденциальности.
Если поставщики удостоверений, например Active Directory или Azure AD, регистрируют сертификат в службе Hello, Windows 10 будет поддерживать тот же набор сценариев, что и смарт-карта. Если тип учетных данных представляет собой ключ, будет поддерживаться только доверие и операции на основе ключа.
Мы постарались написать для вас подробный и понятный туториал по работе со службой Windows Hello. Если у вас остались вопросы, задавайте в комментариях.
Written By
published
October 31, 2016
Did you know that with Windows Hello, you can sign into your Windows 10 devices* in less than two seconds**? Windows Hello uses biometric sensors to recognize your face or fingerprint instantly and unlocks your device without needing a password.
To get started, check to see if your device works with Windows Hello:
Go to Windows Settings (or simply type Windows key + I) > select Accounts > Sign-in options > Windows Hello
If it doesn’t, you have a couple of options. Consider buying a new PC, fingerprint accessory or camera accessory so that you can use the facial unlock or biometric security capabilities of Windows Hello.
Here’s how to set up Windows Hello:
Open the Settings menu (or simply type Windows key + I). Go to Accounts > Sign-in options > Set up > Get started. Type in your PIN when asked, or create one if you don’t have one already. You can always keep and use your PIN as a backup if you need.
To set up face recognition, keep looking at the screen. For fingerprint recognition, touch or swipe the finger you want to register on the sensor. You can also improve face recognition, add, or remove additional fingerprints, at any time, from the same place.
Share your PC? Here’s how to add multiple profiles:
Open the Settings menu and go to Accounts > Family & other people. Select “Add a family member” or “Add someone else to this PC,” and type in their Microsoft account email address.
Sign out from your account and ask the other person to sign in. They will be prompted to set up a new profile, including setting up Windows Hello.
Head over here to learn more about Windows Hello, or how Windows Hello protects your privacy. Have a great week!
*Windows Hello biometrics sign-in requires specialized hardware including a Windows Hello capable device, fingerprint reader, illuminated IR sensor or other biometric sensors.
** Based on average time comparison between typing a password respectively detecting a face or fingerprint to authentication success.
Windows 7 and later versions supported biometric sign-in. On Windows 10, the biometric sign-in option exists as an official feature known as Windows Hello.
Windows Hello is, essentially biometric sign-in however, it is divided into different types depending on the device used to sign in. Windows Hello Face uses the camera on your system to sign you in via facial recognition. If you use a fingerprint scanner, it will be set up as Windows Hello Fingerprint. And if you use a PIN, you will set up a Windows Hello PIN.
Windows Hello can be set up in different ways but by far the most selective method is Windows Hello Face. This option doesn’t work with all webcams. Instead, there is a very small list of webcams that can be used to set this feature up.
For Windows Hello Fingerprint, you will find that most fingerprint scanners, even no-name brands will work just fine if the device has been set up correctly.
If you’re trying to use Windows Hello but Windows 10 tells you the feature isn’t available, here are a few things you can do.
1. Check device compatibility
If you’re trying to set up Windows Hello either with a webcam or a fingerprint scanner, you should check if the device is supported.
Use this helpful tool provided by Microsoft to narrow down compatible devices/computers.
2. Install Windows Hello Face
Windows Hello Face is a service that needs to be installed in order for the feature to work. This is an optional feature so there’s a chance it isn’t installed.
- Open the Settings app (Win+I keyboard shortcut).
- Go to Apps.
- Click Optional Features.
- Go through the list of installed features and see if Windows Hello Face is listed.
- If Windows Hello Face is not listed, click Add a feature.
- Enter Windows Hello Face in the search bar.
- Select the feature from the results and click Install.
- Restart the system.
3. Enable Windows Hello from Windows Registry
Windows Hello relies on biometric devices to work and these devices can be disabled from the registry. If they’ve been disabled, you will not be able to set up Windows Hello on your system.
- Tap the Win+R keyboard shortcut to open the run box.
- Enter
regeditand tap the Enter key. - Go to the following key.
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System
- Right-click the System key and select New>DWORD (32-bit) Value.
- Name it AllowDomainPINLogon.
- Set its value to 1
- Restart the system.
4. Enable Windows Hello from Group Policy
If you’re using Windows 10 Pro and are connected to a domain, you need to enable Windows Hello from the group policy.
- Tap the Win+R keyboard shortcut to open the run box.
- Enter
gpedit.mscand tap the Enter key. - In the column on the left, go to Computer Configuration>Administrative Templates>Windows Components.
- Look for the Allow the use of biometrics policy and enable it.
5. Update drivers
Updating drivers may fix the problem with Windows Hello.
- Open Device Manager.
- For a fingerprint scanner: expand Biometric devices.
- For a webcam: expand Cameras.
- Right-click the device and select Update Driver.
- Select Search Automatically for driver.
- Install all available driver updates and restart the system.
6. Update Windows 10
Check if a Windows update is available and install it.
- Open the Settings app (Win+I keyboard shortcut).
- Go to Update and security.
- Select the Windows Update tab.
- Click Check for Updates.
- Install available updates.
7. Uninstall Windows update
If Windows Hello was working on your system, and it stopped after installing an update, uninstall it.
- Open the Settings app (Win+I keyboard shortcut).
- Go to Update and security>Windows Update.
- Click View Update History.
- Click Uninstall Updates.
- Select the recently installed update that you think is causing problems and uninstall it.
Conclusion
Windows Hello works with select few devices if you’re trying to set up Windows Hello Face but, for Windows Hello Fingerprint, most biometric devices will do the job. You can also use a PIN which is also a Windows Hello sign-in method and Windows 10 prefers it over a password. All you need to set up a PIN is a keyboard.
Fatima Wahab
Fatima has been writing for AddictiveTips for six years. She began as a junior writer and has been working as the Editor in Chief since 2014.
Fatima gets an adrenaline rush from figuring out how technology works, and how to manipulate it. A well-designed app, something that solves a common everyday problem and looks