Паспорт Microsoft в Windows 10
Паспорт Microsoft существует довольно давно. Он служит единой точкой для всех продуктов Microsoft, таких как Outlook.com, OneDrive, Messenger (когда он был жив), людей, контактов и т. Д. В Windows 10, Microsoft Passport заменит пароли сильной двухфакторной аутентификацией, состоящей из зарегистрированного устройства и Windows Hello (биометрического) или PIN-кода. В этом сообщении представлен обзор того, как Microsoft намеревается использовать Microsoft Passport в Windows 10.
Что такое Microsoft Passport
В общем, Microsoft Passport состоит из двух служб — единого входа в систему, который позволяет членам использовать одно имя и пароль для входа в систему и услугу «Кошелек», которую участники могут использовать для быстрой и удобной покупки в Интернете.
Двухфакторная аутентификация в паспорте Microsoft
Microsoft представила двухфакторную аутентификацию пару лет назад, когда киберпреступники активизировали свою деятельность в Интернете. Однако в его текущем состоянии были проблемы с использованием двухфакторной аутентификации.
Сначала вы вводите пароль, а затем получаете PIN-код, который вы должны ввести. Если по телефону это становится проблемой, особенно если ОЗУ телефона низкое. Кроме того, в своем текущем сценарии, когда вы хотите пойти на двухфакторную аутентификацию, вам нужно создать разные пароли для разных приложений, которые вы используете. Вам даже нужно создать «пароль приложения» для почтового клиента Microsoft Outlook и ввести его вместо реального пароля Microsoft, который вы используете для входа в систему через веб-браузер.
Все это изменится с помощью Паспорт Microsoft в Windows 10, В настоящее время двухфакторная аутентификация является необязательной. Microsoft сделает обязательным для всех использование двухфакторной аутентификации. Это будет не так сложно, как сейчас. Будет два ключа: один с Microsoft и один с пользователем. Пользователю нужен только пользовательский ключ для доступа к защищенным приложениям Microsoft.
Первичный ключ с Microsoft — это сертификат или прошивка. То есть вам не нужно будет вводить эту информацию в поля входа. Тогда будет PIN-код, который вы получите. Этот PIN-код откроет двери для продуктов Microsoft.
Windows Hello
Мы уже говорили о ПИН. Пользователи, желающие получить дополнительную защиту, могут выбрать Windows Hello, который будет представлять собой какой-то жест, который вы используете на экране входа в систему, чтобы получить доступ к защищенным ресурсам.
Windows Hello is the name Microsoft has given to the new biometric sign-in system built into Windows 10. Because it is built directly into the operating system, Windows Hello allows face or fingerprint identification to unlock users’ devices. Authentication happens when the user supplies his or her unique biometric identifier to access the device-specific Microsoft Passport credentials, which means that an attacker who steals the device can’t log on to it unless that attacker has the PIN. The Windows secure credential store protects biometric data on the device. By using Windows Hello to unlock a device, the authorized user gains access to all of his or her Windows experience, apps, data, websites, and services, says TechNet.
Некоторые из существующих телефонов используют определенные виды жестов для экрана блокировки. Видно, как Windows Hello будет отличаться от текущих экранов блокировки, но Microsoft заявляет, что она будет лучше, чем текущие жесты на экранах блокировок, и обеспечит повышенную безопасность. Согласно TechNet, жест будет согласован с первым шагом в двухфакторной аутентификации — сертификатом, назначенным Windows.
В первый раз потребуется больше времени, так как вам нужно получить сертификат, а затем настроить PIN-код или Windows Hello. После того, как все настроено, вы можете получить доступ к продуктам Microsoft в будущем, просто введя ПИН или выбранный вами жест. Таким образом, от SMS не потребуется ждать PIN-кода. Вы просто рисуете жест, и вы входите.
Предпосылки для Microsoft Passport
Прежде чем вы сможете использовать Microsoft Passport на своем предприятии, вам необходимо убедиться в том, что вы отвечаете предварительным требованиям.
| Режим Microsoft Passport | Azure AD | Active Directory (AD) на месте | Azure AD / AD гибрид |
|---|---|---|---|
| Аутентификация на основе ключа | Подписка на Azure AD | Служба федерации Active Directory (AD FS) (Windows 10) Несколько контроллеров домена Windows 10 на сайтеMicrosoft System Center 2012 R2 Configuration Manager SP2 | Azure AD подпискаAzure AD ConnectA несколько контроллеров домена Windows 10 на сайтеConfiguration Manager SP2 |
| Аутентификация на основе сертификатов | Поддержка Azure ADIntune или управление мобильными устройствами (MDM), отличное от Microsoft. | ADFS (Windows 10) Доменные службы Active Directory (AD DS) инфраструктура Windows 10 schemaPKIСистема диспетчеризации конфигурации SP2, Intune или не-Microsoft MDM | Azure AD подпискаPKI инфраструктураConfiguration Manager SP2, Intune или не-Microsoft MDM-решение |
Как работает Microsoft Passport в Windows 10
Пакет Microsoft Passport, как было сказано ранее, будет основан на сертификате — асимметричной паре ключей — для обеспечения безопасности данных пользователя. Поставщик удостоверений — учетная запись Microsoft — создаст открытый ключ во время процесса регистрации и будет идентифицировать его каждый раз, когда пользователь попытается войти в систему. Если вместо сертификатов используется прошивка, они должны соответствовать: наличие такой прошивки должно быть там, а ключ, хранящийся криптографически на прошивке, должен совпадать с ключом, сгенерированным во время процесса регистрации.
Вот сложная часть. Сертификат не будет работать на всех устройствах, поскольку он будет храниться локально на устройстве, особенно если это сертификат, основанный на оборудовании. Он даже не отправляется на сервер. Таким образом, это может заставить пользователей пройти процесс регистрации на каждом устройстве отдельно. Однако открытый ключ (PIN-код или жест) может использоваться на разных устройствах, что облегчает пользователям, поскольку им не нужно запоминать разные PIN-коды и жесты.
Все сказанное, эта новая функция в Windows 10 обязательно приведет к удобству пользователя и повышению безопасности.
Рекомендуемые:
До свидания Microsoft Security Essentials: Microsoft теперь рекомендует использовать сторонний антивирус
Microsoft Security Essentials (Защитник Windows в Windows 8) был когда-то сверху. На протяжении многих лет он скользил по результатам тестирования, но Microsoft утверждала, что тесты не имеют смысла. Теперь Microsoft рекомендует пользователям Windows использовать сторонний антивирус.
Microsoft могла бы быть на вершине: 10 возможностей продукта Microsoft пропустила
Когда люди думают об инновационных технологических компаниях, они обычно не думают о Microsoft. У Microsoft на самом деле была история инновационных продуктов и идей, но они не смогли выполнить их снова и снова.
«Почему Microsoft» сравнивает программное обеспечение и услуги Microsoft со своей конкуренцией
Почему сайт Microsoft информирует клиентов о том, как продукт Microsoft отличается от продуктов, предлагаемых его конкурентами.
Приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana должны быть установлены правильно
Получать приложения Microsoft.Windows.ShellExperienceHost и Microsoft.Windows.Cortana необходимо правильно установить ошибку? См. Это сообщение для исправлений.
Преподаватели из Microsoft: Windows 7 и Microsoft Office в классе
Microsoft выпустила несколько полезных руководств для учителей. Смотрите видеоролики и загружайте руководства и электронные книги, чтобы вдохновить ваш класс и помочь вам максимально эффективно использовать инструменты и технологии на уроках.
Microsoft Passport
Сегодня методы аутентификации развиваются быстрее, чем когда-либо прежде. Подумайте сами: вы берёте ноутбук, затем, чтобы зайти на свои любимые сайты, открываете браузер где опять логинетесь. В этих случаях вы не всегда используете свои корпоративные учётные данные.
Если вы слышите о новой услуге и хотите получить к ней доступ, есть вероятность, что вам будет предложено зарегистрироваться или использовать общедоступные учётные данные, например, из Microsoft, Facebook, Google и т. д.
Традиционная, использующая предоставление удостоверения подлинности для конкретной личности парадигма изменилась, и теперь используются более «известные» службы, такие как только что упомянутые.
Microsoft Passport
Microsoft Passport — это новый метод проверки подлинности на основе ключа, который выходит за рамки паролей и смягчает традиционные атаки на аутентификацию.
Пользователь регистрируется в Microsoft Passport, но должен убедиться, что поставщик аутентификации поддерживает аутентификацию Fast Identity Online (FIDO). Таким образом, используя двухэтапный процесс пользователь настраивает Microsoft Passport на своём устройстве и устанавливает жест или PIN-код. Затем, это может использоваться для аутентификации пользователя через Microsoft Passport
Во время установки сертификат асимметричной пары ключей хранится на устройстве. Закрытый ключ хранится в чипе TPM устройства. Закрытый ключ, во время процесса проверки подлинности, никогда не покидает устройства.
Открытый ключ зарегистрирован в Azure Active Directory и Windows Server Active Directory. Открытый и закрытый ключ учётной записи пользователя сопоставляются, что помогает в проверке пользователя. Дополнительные элементы управления реализуются через One Time Passwords, Phonefactor и так далее.
Подробнее. Для получения дополнительной информации о развёртывании Microsoft Passport перейдите на https://aka.ms/bh1m24 .
Active Directory Federation Services
По мере освоения облачного мира, способность контролировать вашу личность становится всё более важной. И тут нужно думать, как можно использовать корпоративную идентичность для доступа к тем приложениям, которыми мы технически больше не владеем. А также, мы должны подумать о том, как в безопасном и контролируемом режиме без громоздкого процесса управления пользователями, обеспечить доступ к своим приложениям другим организациям.
Active Directory Federation Services (AD FS) предоставляет эту возможность, так что вы можете подключиться к приложениям, которые находятся на чужой территории или в облаке (Platform as a Service [PaaS] или SaaS) с вашей корпоративной идентичностью.
AD FS существует довольно давно (начиная с AD FS 2.0) но в Windows Server 2016, есть дополнительные усовершенствования технологии, гарантирующие, что она соответствует следующему уровню требований для организаций в облачном мире.
Вот некоторые из областей ключевых улучшений для AD FS:
- Многофакторная проверка подлинности
Windows Server 2016, для упрощения процесса использования Azure MFA, в качестве основного поставщика для проверки подлинности, содержит встроенный адаптер Azure MFA. Больше нет необходимости развёртывать локальный сервер MFA.
- Регистрация устройства для гибридного условного доступа
Теперь вы можете сконфигурировать AD FS для распознавания состояния устройства. Это означает, что вы можете управлять устройством и применять политики по мере необходимости. Это гарантирует совместимость устройства с корпоративной политикой и уменьшает потенциальные риски для корпоративных ресурсов.
Подробнее. Для получения дополнительной информации перейдите на https://aka.ms/i4jy7h .
- Интеграция Windows 10 и Microsoft Passport
Microsoft Passport и AD FS были разработаны для интеграции, обеспечивая дополнительный контроль подлинности для пользователей Windows 10.
- Интеграция Lightweight Directory Access Protocol (LDAP), для защиты не AD директорий
Многие организации не полагаются на Active Directory для своих идентификаторов. В этом случае AD FS будет интегрироваться в LDAP v3 совместимые каталоги. Это позволит продолжить интеграцию в облако с использованием этих же поставщиков проверки идентичности и того же самого опыта работы при использовании Active Directory.
Подробнее. Для получения дополнительной информации перейдите на https://aka.ms/qqupdh .
- Улучшение аудита
В прошлом, аудит в AD FS был довольно сложным, с большим количеством подробной информации, которую трудно отслеживать. В Windows Server 2016, Microsoft эти действия упростила, дав более последовательный опыт аудита и предоставив более простые методы для отслеживания журналов.
Подробнее. Для получения дополнительной информации перейдите на https://aka.ms/ftbvm1 .
- Улучшения SAML 2.0
В Windows Server 2016, была улучшена поддержка SAML, с включением импорта трастов на основе метаданных, содержащих несколько объектов. Теперь вы можете настроить поддержку AD FS для участия в конфедерациях, таких как InCommon Federations, а также в других реализациях, соответствующих eGov 2.0.
- Индивидуализация входа в систему
В Windows Server 2016 вы можете настраивать сообщения, изображения, логотипы и темы для каждого приложения, позволяя мультиорганизациям иметь одно развёртывание, а не несколько для отдельных устройств. Вы можете расширить эти настройки в каждом разделе.
- Упрощённое управление паролями пользователей Federated Office 365
AD FS теперь может отправлять доверенным сторонам оповещения об истечении срока действия патента. Пользователи приложения будут уведомлены об их устаревших паролях, а затем смогут принять меры и изменить их.
- Конфигурирование политики контроля доступа, без знания требований правил языка
В Windows Server 2016 появились новые шаблоны политики контроля доступа, которые упрощают настройку требований правил. Эти шаблоны принесли простой, основанный на пользовательском интерфейсе, процесс, который поможет быстро и безопасно создавать требования правил для организации.
Подробнее. Для получения дополнительной информации перейдите на https://aka.ms/rf833l .
- Миграция из предыдущих версий AD FS
Процесс обновления для AD FS, в Windows Server 2016, был значительно упрощён. Теперь всё, что вам нужно сделать, это установить экземпляр Windows Server 2016 AD FS в существующий фарм, проверить функциональность и удалить предыдущие версии. AD FS в Windows Server 2016 может «действовать» как предыдущая версия AD FS.
Управление проверкой личности с помощью Windows Hello для бизнеса
Делимся с вами обзорным материалом про службу Windows Hello, обеспечивающую двухфакторную проверку на Windows 10. Также вы узнаете, чем она будет полезна для крупных компаний, почему стоит выбирать PIN-код, а не пароль и как её настроить.
Windows Hello — что это и зачем?
В Windows 10 служба Windows Hello для бизнеса заменяет пароли на строгую двухфакторную проверку подлинности на компьютерах и мобильных устройствах. Она заключается в создании нового типа учетных данных пользователя в привязке к устройству, использовании биометрических данных или PIN-кода.
В первых версиях Windows 10 были службы Microsoft Passport и Windows Hello, которые обеспечивали многофакторную проверку подлинности. Чтобы упростить развертывание и расширить возможности поддержки, Microsoft объединила эти технологии в единое решение — Windows Hello. Если вы уже выполнили развертывание этих технологий, то вы не заметите никаких изменений в функционировании служб. Для тех, кому еще предстоит оценить работу Windows Hello, выполнить развертывание будет гораздо проще благодаря упрощенным политикам, документации и семантике.
Служба Hello призвана решать типичные проблемы пользователей, возникающие при работе с паролями:
- Пароли могут быть трудны для запоминания, и пользователи часто повторно используют пароли на нескольких сайтах.
- Взломы сервера могут раскрывать симметричные сетевые учетные данные.
- Пароли могут подлежать атакам с повторением пакетов.
- Пользователи могут непреднамеренно предоставить свой пароль вследствие фишинга.
После начальной двухэтапной проверки при регистрации на вашем устройстве настраивается служба Hello, и вы сами устанавливаете жест, который может быть как биометрическим, например отпечатком пальца, так и PIN-кодом. Далее необходимо сделать жест для проверки своего удостоверения. После этого Windows использует Hello для проверки подлинности и предоставления им доступа к защищенным ресурсам и службам.
От имени администратора компании или общеобразовательной организации можно создать политики управления Hello для использования на устройствах под управлением Windows 10, которые подключаются к вашей организации.
Разница между Windows Hello и Windows Hello для бизнеса
Windows Hello предназначена для удобного и безопасного входа пользователя. Такое использование Hello обеспечивает отдельный уровень защиты, так как является уникальным для устройства, на котором настраивается, однако проверка подлинности на основе сертификатов при этом отсутствует.
Служба Windows Hello для бизнеса, которая настраивается групповой политикой или политикой MDM, использует проверку подлинности на основе ключа или сертификата.
В настоящее время в учетных записях Active Directory с использованием Windows Hello не поддерживается проверка подлинности на основе ключа или сертификата. Эта функция должна появиться в будущем выпуске.
Почему PIN-код, а не пароль?
Пароли представляют собой общие секреты, они вводятся на устройстве и передаются по сети на сервер. Перехваченные имя и пароль учетной записи могут быть использованы кем угодно. Например, учетные данные могут быть раскрыты при взломе сервера.
В Windows 10, в процессе подготовки, служба Hello создает пару криптографических ключей, привязанных к доверенному платформенному модулю (TPM), если устройство оснащено таким модулем, или в программной реализации. Доступ к этим ключам и получение подписи для проверки того, что пользователь владеет закрытым ключом, предоставляется только при вводе PIN-кода или биометрического жеста. Двухэтапная проверка, которая происходит при регистрации в службе Hello, формирует доверительные взаимоотношения между поставщиком удостоверений и пользователем, когда открытая часть пары «открытый/закрытый ключ» отправляется поставщику удостоверений и связывается с учетной записью пользователя. Когда пользователь выполняет жест на устройстве, поставщик удостоверений определяет по комбинации ключей Hello и жеста, что это проверенное удостоверение, и предоставляет маркер проверки подлинности, с помощью которого Windows 10 получает доступ к ресурсам и службам. Кроме того, в процессе регистрации генерируется претензия по удостоверению для каждого поставщика удостоверений, чтобы криптографически подтвердить, что ключи Hello привязаны к TPM. Если претензия по удостоверению во время регистрации не выставляется поставщику удостоверений, поставщик удостоверений должен предполагать, что ключ Hello создан программно.
Представьте, что кто-то подсматривает через ваше плечо при получении денежных средств из банкомата и видит вводимый вами PIN-код. Наличие этого PIN-кода не поможет им получить доступ к учетной записи, так как у них нет банковской карты. Аналогичным образом перехват PIN-кода для устройства не позволяет злоумышленнику получить доступ к учетной записи, так как PIN-код является локальным для конкретного устройства и не обеспечивает никакого типа проверки подлинности с любого другого устройства.
Hello как раз позволяет защищать удостоверения и учетные данные пользователей. Так как пароли не используются, фишинг и атаки методом подбора становятся бесполезными. Эта технология позволяет также предотвратить взломы серверов, так как учетные данные Hello являются асимметричной парой ключей, что предотвращает атаки с повторяющимися пакетами, так как эти ключи защищены доверенными платформенными модулями (TPM).
Также можно использовать устройства с Windows 10 Mobile в качестве удаленных учетных данных при входе на ПК под управлением Windows 10. В процессе входа в систему ПК под управлением Windows 10 он может подключаться и получать доступ к Hello на вашем устройстве под управлением Windows 10 Mobile по Bluetooth. Поскольку мы всегда носим с собой телефон, Hello позволяет гораздо проще реализовать двухфакторную проверку подлинности.
Функция входа через телефон в данный момент доступна только отдельным участникам программы принятия технологий (TAP).
Так как же PIN-код помогает защитить устройство лучше, чем пароль?
Преимущества PIN-кода в сравнении с паролем связаны не с его структурой (длиной и сложностью), а с принципом работы.
1. PIN-код привязан к устройству. Злоумышленник, получивший доступ к паролю, может войти в учетную запись с любого устройства, но в случае кражи PIN-кода вход в учетную запись будет невозможен без доступа к соответствующему устройству.
2. PIN-код хранится на устройстве локально. Пароль передается на сервер и может быть перехвачен в процессе передачи или украден с сервера. PIN-код задается на устройстве на локальном уровне, не передается и не хранится на сервере. При создании PIN-кода устанавливаются доверительные отношения с поставщиком удостоверений и создается пара асимметричных ключей, используемых для проверки подлинности. При вводе PIN-кода ключ проверки подлинности разблокируется и используется для подтверждения запроса, отправляемого на сервер для проверки подлинности.
3. PIN-код поддерживается оборудованием. PIN-код Hello поддерживается микросхемой доверенного платформенного модуля (TPM), представляющей собой надежный криптографический процессор для выполнения операций шифрования. Эта микросхема содержит несколько механизмов физической защиты для предотвращения взлома, и вредоносные программы не могут обойти функции безопасности TPM. TPM применяется во всех телефонах с Windows 10 Mobile и во многих современных ноутбуках.
Материал ключа пользователя создается и становится доступным в доверенном платформенном модуле (TPM) на устройстве пользователя, что защищает материал от перехвата и использования злоумышленниками. Поскольку технология Hello подразумевает использование пар асимметричных ключей, учетные данные пользователей не будут похищены в случае нарушения безопасности поставщика удостоверений или веб-сайтов, к которым пользователь осуществляет доступ.
TPM защищает от множества известных и потенциальных атак, в том числе атак методом подбора PIN-кода. После определенного количества попыток ввода неправильного PIN-кода устройство блокируется.
4. PIN-код может быть сложным. К PIN-коду Windows Hello для бизнеса применяется тот же набор политик управления ИТ, что и к паролю, в том числе сложность, длина, срок действия и история изменений. Несмотря на уверенность большинства пользователей в том, что PIN-код представляет собой простой код из 4 цифр, администраторы могут устанавливать для управляемых устройств политики, предполагающие уровень сложности PIN-кода, сопоставимый с паролем. Вы можете сделать обязательными или запретить специальные знаки, буквы в верхнем и нижнем регистрах, а также и цифры.
Раздел меню настроек в котором задаются параметры PIN-кода и биометрия:
Что произойдет в случае кражи ноутбука или телефона?
Для нарушения безопасности учетных данных Windows Hello, защищаемых TPM, злоумышленнику нужно осуществить доступ к физическому устройству, найти способ похитить биометрические данные пользователя или подобрать PIN-код. Все это нужно сделать раньше, чем функциональный механизм защиты от взлома TPM заблокирует устройство. Для ноутбуков, не имеющих TPM, можно настроить дополнительную защиту, активировав BitLocker и ограничив количество неудачных попыток входа в систему.
Настройка BitLocker без TPM
С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику:
Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Шифрование диска BitLocker → Диски операционной системы → Требовать дополнительной проверки подлинности при запуске
В параметрах политики выберите Разрешить использование BitLocker без совместимого TPM, а затем нажмите кнопку ОК.
Перейдите в меню Панель управления → Система и безопасность → Шифрование диска BitLocker и выберите диск с операционной системой, который требуется защитить.
С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику: Конфигурация компьютера → Параметры Windows → Параметры безопасности → Политики учетных записей → Политика блокировки учетных записей → Пороговое значение блокировки.
Установите допустимое количество неудачных попыток входа в систему и нажмите ОК.
Как работает Windows Hello для бизнеса: основные положения
1. Учетные данные службы Hello основаны на сертификате или асимметричной паре ключей и привязаны к устройству, как и маркер, получаемый с помощью учетных данных.
2. Поставщик удостоверений (например, Active Directory, Azure AD или учетная запись Майкрософт) проверяет удостоверение пользователя и сопоставляет открытый ключ Hello с учетной записью пользователя на этапе регистрации.
3. Ключи могут генерироваться в аппаратном (TPM 1.2 или 2.0 для предприятий и TPM 2.0 для потребителей) или программном обеспечении на основании политики.
4. Проверка подлинности — это двухфакторная проверка с использованием сочетания ключа или сертификата, привязанного к устройству, и информации, известной пользователю PIN-код), или идентификационных данных пользователя (Windows Hello). Жест Hello не перемещается между устройствами и не предоставляется серверу. Он хранится локально на устройстве.
5. Закрытый ключ никогда не покидает устройство. Проверяющий подлинность сервер имеет открытый ключ, который был сопоставлен с учетной записью пользователя во время регистрации.
6. Ввод PIN-кода и биометрических жестов приводит к проверке удостоверения пользователя в Windows 10 и проверке подлинности с использованием ключей или сертификатов Hello.
7. Личные (учетная запись Майкрософт) или корпоративные учетные записи (Active Directory или Azure AD) использует один контейнер для ключей. Все ключи разделены по доменам поставщиков удостоверений в целях обеспечения конфиденциальности пользователя.
8. Закрытые ключи сертификатов могут быть защищены контейнером Hello и жестом Hello.
Сравнение проверки подлинности на основе ключа и сертификата
Для подтверждения личности служба Windows Hello для бизнеса может использовать ключи (аппаратный или программный) или сертификаты с ключами в аппаратном или программном обеспечении. Предприятия с инфраструктурой открытых ключей (PKI) для выпуска и управления сертификатами могут продолжать использовать PKI вместе со службой Hello. Предприятия, у которых нет PKI или которые хотят сократить объем работ, связанных с управлением сертификатами, могут использовать для службы Hello учетные данные на основе ключа.
Аппаратные ключи, которые создаются модулем TPM, обеспечивают наиболее высокий уровень гарантии. При изготовлении в модуль TPM помещается сертификат ключа подтверждения (EK). Этот сертификат EK создает корневое доверие для всех других ключей, которые генерируются в этом модуле TPM. Сертификация EK используется для генерации сертификата ключа удостоверения подлинности (AIK), выданного службой сертификации Microsoft. Этот сертификат AIK можно использовать как претензию по удостоверению, чтобы доказать поставщикам удостоверений, что ключи Hello генерировались одним и тем же TPM. Центр сертификации Майкрософт (CA) генерирует сертификат AIK для каждого устройства, пользователя и IDP, чтобы гарантировать защиту конфиденциальности.
Если поставщики удостоверений, например Active Directory или Azure AD, регистрируют сертификат в службе Hello, Windows 10 будет поддерживать тот же набор сценариев, что и смарт-карта. Если тип учетных данных представляет собой ключ, будет поддерживаться только доверие и операции на основе ключа.
Мы постарались написать для вас подробный и понятный туториал по работе со службой Windows Hello. Если у вас остались вопросы, задавайте в комментариях.
Паспорт Microsoft в Windows 10
Особенности
Microsoft Passport существует довольно давно. Он служит единой точкой входа для всех продуктов Microsoft, таких как Outlook.com, OneDrive, Messenger (когда он был активен), сотрудников, контактов и многого другого. В Windows 10 Microsoft Passport заменит пароли строгой двухфакторной аутентификацией, которая состоит из зарегистрированного устройства и Windows Hello (биометрическая) или PIN-кода. Этот пост предлагает обзор того, как Microsoft намеревается использовать Microsoft Passport в Windows 10.
Что такое паспорт Microsoft
Вообще говоря, Microsoft Passport состоит из 2 служб – единой службы входа в систему, которая позволяет участникам использовать одно имя и пароль для входа в систему, и службы кошелька, которую участники могут использовать для быстрых и удобных покупок в Интернете.
Двухфакторная аутентификация в паспорте Microsoft
Microsoft ввела двухфакторную аутентификацию пару лет назад, когда киберпреступники увеличили свою активность в Интернете. Однако были проблемы с использованием двухфакторной аутентификации в ее текущем состоянии.
Сначала – вы вводите пароль, а затем вы получаете PIN-код, который необходимо ввести. Если на телефоне это становится проблемой, особенно если на телефоне мало оперативной памяти. Кроме того, в текущем сценарии, когда вы хотите использовать двухфакторную аутентификацию, вы должны создавать разные пароли для разных приложений, которые вы используете. Вам даже нужно создать «пароль приложения» для почтового клиента Microsoft Outlook и ввести его вместо реального пароля Microsoft, который вы используете для входа через веб-браузер.
Все это можно изменить с помощью Microsoft Passport в Windows 10 . Прямо сейчас двухфакторная аутентификация не является обязательной. Microsoft сделает обязательным для всех использование двухфакторной аутентификации. Это не будет так сложно, как сейчас. Там будет два ключа, один с Microsoft и один с пользователем. Пользователю нужен только ключ пользователя, чтобы получить доступ к защищенным приложениям Microsoft.
Первичным ключом у Microsoft будет сертификат или прошивка. То есть вам не нужно вводить эту информацию в поля для входа. Тогда будет PIN-код, который вы получите. Этот PIN-код откроет двери для продуктов Microsoft.
Windows Hello
Мы уже говорили о ПИН-коде. Пользователи, которым нужна дополнительная защита, могут выбрать Windows Hello, что было бы своего рода жестом, который вы рисуете на экране входа, чтобы получить доступ к защищенным ресурсам.
Windows Hello – это имя, которое Microsoft дала новой биометрической системе входа, встроенной в Windows 10. Поскольку Windows Hello встроена непосредственно в операционную систему, она позволяет идентифицировать лица или отпечатки пальцев для разблокировки пользовательских устройств. Аутентификация происходит, когда пользователь предоставляет свой уникальный биометрический идентификатор для доступа к учетным данным Microsoft Passport для конкретного устройства, что означает, что злоумышленник, который украл устройство, не сможет войти в него, если у этого злоумышленника нет PIN-кода. Безопасное хранилище учетных данных Windows защищает биометрические данные на устройстве. По словам TechNet, используя Windows Hello для разблокировки устройства, авторизованный пользователь получает доступ ко всем своим приложениям, данным, веб-сайтам и службам Windows.
Некоторые из существующих телефонов используют определенные виды жестов для блокировки экрана. Видно, чем Windows Hello будет отличаться от текущих экранов блокировки, но Microsoft действительно говорит, что это будет лучше, чем текущие жесты на экранах блокировки, и обеспечит повышенную безопасность. Согласно TechNet, этот жест будет сопоставлен с первым этапом двухфакторной аутентификации – сертификатом, который Windows назначил вам.
Первый раз займет больше времени, так как вам нужно получить сертификат, а затем настроить PIN-код или Windows Hello. После того, как все настроено, вы можете в будущем получить доступ к продуктам Microsoft, просто введя PIN-код или выбранный вами жест. Таким образом, вам не нужно будет ждать получения PIN-кода по SMS. Вы просто рисуете жест, и вы в.
Предварительные условия для Microsoft Passport
Прежде чем вы сможете использовать Microsoft Passport на своем предприятии, вам необходимо убедиться, что вы соответствуете предварительным требованиям.
Режим Microsoft Passport
Azure AD
Active Directory (AD) локально
Azure AD/AD гибридАутентификация на основе ключей подписка Azure AD Служба федерации Active Directory (AD FS) (Windows 10) Несколько локальных контроллеров домена Windows 10Microsoft System Center 2012 R2 Configuration Manager с пакетом обновления 2 (SP2) подписка Azure AD. Azure AD Connect. Несколько контроллеров домена Windows 10 на месте Configuration Manager SP2 Проверка подлинности на основе сертификатов Azure AD subscriptionIntune или решение для управления мобильными устройствами сторонних разработчиков (MDM). Инфраструктура PKI ADFS (Windows 10) Доменные службы Active Directory (AD DS). Инфраструктура schemaPKI для Windows 10. Диспетчер конфигурации SP2, Intune или решение не для Microsoft MDM подписка Azure AD на инфраструктуру PKI Configuration Manager с пакетом обновления 2 (SP2), Intune или решение не для Microsoft MDM Как работает Microsoft Passport в Windows 10
Microsoft Passport, как было сказано ранее, будет основан на сертификате – асимметричной паре ключей – для обеспечения безопасности пользовательских данных. Поставщик удостоверений – учетная запись Microsoft – создаст открытый ключ во время процесса регистрации и будет идентифицировать его каждый раз, когда пользователь пытается войти в систему. Если вместо сертификатов используется микропрограмма, они должны совпадать: наличие такой микропрограммы должно присутствовать и Ключ, хранящийся криптографически в прошивке, должен совпадать с ключом, сгенерированным в процессе регистрации.
Вот сложная часть. Сертификат не будет работать на разных устройствах, так как он будет храниться локально на устройстве, особенно если это аппаратный сертификат. Он даже не отправляется на сервер. Таким образом, это может заставить пользователей проходить процесс регистрации на каждом устройстве отдельно. Однако открытый ключ (PIN-код или жест) можно использовать на разных устройствах, что облегчает пользователям задачу, поскольку им не нужно запоминать различные PIN-коды и жесты.
Как уже говорилось, эта новая функция в Windows 10 наверняка приведет к удобству пользователя и повышению безопасности.