Опишите отличия компонентов биометрической службы windows 10 от предыдущих версий ос

Отключение или включение пользователей домена Вход в систему с использованием биометрии в Windows 10

Windows 10 поддерживает использование биометрии. Он уже поддерживает PIN-код, пароль и пароль изображения на всех компьютерах, но при наличии соответствующего оборудования Windows 10 также поддерживает сканирование лица, сканирование радужной оболочки глаза и сканирование отпечатков пальцев. Эти настройки можно найти в разделе «Настройки»> «Аккаунты»> «Параметры входа» . Но иногда, даже если имеется аппаратное обеспечение для поддержки этой функции, называемой Windows Hello, вы можете не найти опции, доступные для включения этой функции. В этом посте показано, как включить или отключить вход пользователей домена в Windows 10 с помощью биометрии с использованием реестра или GPEDIT.

Разрешить пользователям домена вход в систему с использованием биометрии

Я рекомендовал вам создать точку восстановления системы. Это связано с тем, что при выполнении таких модификаций есть вероятность, что что-то сломается на стороне программного обеспечения вашего компьютера. Или, если у вас нет привычки создавать точку восстановления системы, я бы действительно рекомендовал вам часто ее создавать.

Использование редактора реестра

Нажмите комбинацию кнопок WINKEY + R, чтобы запустить утилиту Run, введите regedit и нажмите Enter. После открытия редактора реестра перейдите к следующему

HKEY_LOCAL_MACHINE ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ Политики Microsoft Биометрия Поставщик учетных данных

Теперь щелкните правой кнопкой мыши на правой боковой панели и выберите New> DWORD (32-bit) Value.

Установите имя этого вновь созданного DWORD как Учетные записи домена .

Дважды щелкните по вновь созданному DWORD и установите его значение как 1 . Это позволит разрешить пользователям домена входить в Windows 10 с использованием биометрии .

Значение запрещает пользователям домена вход в Windows 10 с использованием биометрии.

Выйдите из редактора реестра и перезагрузите компьютер, чтобы изменения вступили в силу.

Использование редактора групповой политики

Нажмите комбинацию кнопок WINKEY + R, чтобы запустить утилиту Run, введите gpedit.msc и нажмите Enter. После открытия редактора групповой политики перейдите к следующему параметру:

Конфигурация компьютера> Административные шаблоны> Компоненты Windows> Биометрия

Теперь на правой боковой панели дважды щелкните следующие записи и установите переключатель Включено для всех них,

• Разрешить использование биометрии.
• Разрешить пользователям входить в систему с помощью биометрии.
• Разрешить пользователям домена входить в систему с использованием биометрии.

Выйдите из редактора групповой политики и перезагрузите компьютер, чтобы изменения вступили в силу. Это активирует настройку.

Какие ненужные службы можно отключить в Windows

Частенько мы задумываемся об облегчении и ускорении работы нашего ПК. В продолжение статьи «Стоит ли отключить службы Windows?» хочу написать о том, какие же службы можно отключать в ОС Виндовс.

p, blockquote 1,0,0,0,0 —>

Сразу предостерегаю, если вы не понимаете предназначение той или иной службы, которую хотите остановить, лучше ее не трогайте, дабы избежать непредвиденных проблем со всей системой.

p, blockquote 2,0,0,0,0 —>

Ниже приведу список служб которые тестировались, и тест показал что операционная система Windows отлично работать и без них.

p, blockquote 3,0,0,0,0 —>

Как найти список служб

Для входа в панель управления службами, откройте:

p, blockquote 4,0,1,0,0 —>

Пуск – Панель управления – Администрирование – Службы.

p, blockquote 5,0,0,0,0 —>

p, blockquote 6,0,0,0,0 —>

Win+R – ввести «services.msc»

p, blockquote 7,0,0,0,0 —>

Откроется окно с перечнем и состоянием запуска:

p, blockquote 8,0,0,0,0 —>

p, blockquote 9,1,0,0,0 —>

Как остановить работу службы

Двойным щелчком мышки или правой кнопкой, затем выбрать «Свойства».

p, blockquote 10,0,0,0,0 —>

Теперь нужно выбрать тип запуска:

p, blockquote 11,0,0,0,0 —>

p, blockquote 12,0,0,0,0 —>

Для некоторых СС Виндовс лучше устанавливать Тип запуска «Вручную», а не «Отключена». Тогда эта служба не будет запускаться автоматически, но если потребуется для работы определенной программы, она будет включаться.

p, blockquote 13,0,0,0,0 —>

[attention type=red]Рекомендую перед отключением служб, на всякий случай, создать точку восстановления Windows. Чтобы в случае неправильной работы Windows, вы смогли легко восстановить систему до прежнего состояния. [/attention]

p, blockquote 14,0,0,1,0 —>

Перечень служб, которые могут быть отключены

[attention type=red]Делайте все внимательно и рассудительно, подчеркиваю еще раз: если вы не знаете, какую функцию выполняет та или иная служба, лучше ее совсем не трогать![/attention]

p, blockquote 15,0,0,0,0 —>

Easy Service Optimizer — бесплатная программа для отключения служб Windows 10

Для неуверенных пользователей стоит упомянуть о бесплатной утилите Easy Service Optimizer, которая поможет оптимизировать параметры запуска служб Windows 10. Язык интерфейса есть на русском языке:

p, blockquote 16,0,0,0,0 —>

p, blockquote 17,0,0,0,0 —>

Программка умеет отключать неиспользуемые службы Винды по трем предустановленным сценариям:

p, blockquote 18,0,0,0,0 —>

1. Безопасный.
2. Оптимальный.
3. Экстремальным.

p, blockquote 19,0,0,0,1 —>

Но опять-таки будьте внимательны, чтобы не навредить своему ПК, даже с этой программой не отключайте все службы подряд без раздумья!

Как включить биометрическую службу windows 10

Эту статью я решил написать, начав поиск адекватных материалов о том, какие службы можно выключить в Windows 10 для более быстрой работы операционной системы. В интернете, как и всегда, много различных мнений. Я их изучил, обобщил и попытался сделать общие выводы. Советовать, какие именно службы однозначно можно отключить, я не буду. Очень многое в этом вопросе зависит от индивидуальных параметров компьютера, потребностей и вкусов пользователей. Лично я на своём слабеньком нетбуке с Windows 10 отключил все нижеперечисленные службы — иначе он оставался безумным тормозом (подробнее о всех мерах, предпринятых по разгону своего нетбука я написал в статье Оптимизация и ускорение работы Windows 10 на слабом компьютере ). На стационарном компьютере я предпочёл ничего не трогать и все настройки оставить по умолчанию. Вы сами должны решить, стоит ли совсем отключать какие-то службы, запущенные по умолчанию.

Некоторые рекомендуют перед экспериментом по отключению служб создать точку восстановления системы. Лично я не делал этого. Хотя бы потому, что для меня не представляет сложности, если вдруг это понадобится, начисто установить Windows 10 .

В целом же, без крайней необходимости лучше не отключать какие-либо службы в Windows 10 . Сделать это, на мой взгляд, можно только тогда, когда имеются проблемы с низкой производительностью компьютера и очень нужно его хоть немного разогнать.

Кратко напомню, как попасть в эти самые Службы: кликаем ПРАВОЙ клавишей мыши на меню Пуск, выбираем пункт «Управление компьютером», в колонке слева двойным кликом открываем пункт «Службы и приложения», затем «Службы». Отключение службы производится после двойного клика на неё: в пункте открывшегося окна выбираем «Тип запуска: Отключена».

На своём безумно слабом нетбуке я вполне безболезненно выключил следующие службы:

• NVIDIA Stereoscopic 3D Driver Service — эта служба предназначена для видеокарт NVidia (возможно, у Вас её и не будет, если Вы используете другую видеокарту). Если вы не используете 3D стерео изображения, то данную службу можно выключить.
• Windows Search — с помощью этой службы в Windows 10 и более ранних версиях начиная с «семёрки» работает поиск по содержимому компьютера. Он представлен возможностью найти нужные файлы, папки и программы через лупу на Панели управления, а также реализован в виде поисковой строки в любой папке. На самом деле индексация содержимого компьютера может тратить довольно много ценных ресурсов, поэтому если данный функционал не критичен для Вас и вы хотите ускорить операционную систему, попробуйте отключить эту службу поиска.
• Автономные файлы — служба, позволяющая автономно работать с файлами, доступными во внутренней (локальной) сети. Как я понял, можно спокойно отключить, если компьютер не включён в какую-либо другую сеть кроме сети интернет.
• Биометрическая служба Windows — используется для обработки и хранения биометрических данных. По-моему, тут всё ясно: если не используем вход по отпечаткам пальцев или другие биометрические способы, спокойно выключаем.

• Браузер компьютеров — используется для создания списка компьютеров в сети и выдает его программам по запросу. Опять же данная служба необходима только в локальной сети.
• Брандмауэр Windows — защищает компьютер от несанкционированного доступа из интернета. Если у вас установлен другой файервол (например, Comodo), смело отключайте. В остальных случаях лучше всё-таки не трогать.
• Вспомогательная служба IP — поддерживает сетевой протокол IPv6. Нужна не особо часто, но конкретно надо смотреть в каждом случае индивидуально. Если после её отключения интернет продолжает нормально работать, то Вам она не нужна.
• Вторичный вход в систему — обеспечивает вход в Windows с нескольких учетных записей. Если таковая одна, то можно смело отключать.
• Группировка сетевых участников — организует многопользовательское взаимодействие в одноранговой сети. Проще говоря, нужна при наличии локальной сети, или домашней группы. Выключаем, если таковой нет.
• Диспетчер печати — служба, позволяющая ставить задания печати в очередь и обеспечивающая взаимодействие с принтером. Если нет принтеров, то можно отключить.
• Диспетчер подключений удаленного доступа — при удалении этой службы браузер не будет пытаться подключиться к интернету при работе со страницами с обновляющимися элементами. Как я понял, лучше не отключать .
• Диспетчер удостоверения сетевых участников — используется для идентификации участников локальной сети. Выключаем, если не используем Домашнюю группу.
• Журналы и оповещения производительности — эта служба, как видно из названия, ведёт сбор данных о производительности компьютера. Можно выключить.
• Изоляция ключей CNG — нужна для криптографических процессов, помогает безопасно хранить личные ключи пользователя от запущенных процессов. Пока ещё разбираюсь, что это такое и с чем его едят.
• Маршрутизация и удаленный доступ — обеспечивает маршрутизацию для организаций в локальной и глобальной сетях. Если нет локальной сети — отключаем.
• Модули ключей IPsec — для обмена ключами в Интернете и протокола IP с проверкой подлинности. Как я понял, безболезненно можно выключить.
• Настройка сервера удаленных рабочих столов — отвечает за настройку и обслуживание сеансов служб удаленных рабочих столов и удаленного доступа. В отсутствии локальной сети отключаем.

• Обнаружение SSDP — включает обнаружение UPnP-устройств в домашней сети. Необходимость этого дома вызывает сомнение у многих специалистов. Лучше выключить.
• Политика удаления смарт-карт — если не используете их (смарт-карты), отключайте.
• Программный поставщик теневого копирования (Microsoft) — можно выключить, если не планируете использовать функцию восстановления системы.
• Прослушиватель домашней группы — если не используете домашнюю группу, лучше выключить.
• Рабочие папки — используется для синхронизации папок на различных устройствах. Благодаря этому их можно использовать на любом компьютере, где эта служба включена. Можно выключить.
• Сборщик событий Windows — позволяет собирать события с других компьютеров. Выключаем.
• Сервер — если не используется функция доступа к общим файлам и принтерам, то эту службу можно отключить.
• Сетевая служба Xbox Live — обеспечивает доступ к сервисам Xbox Live. Не знаете, что это, выключайте.
• Сетевой вход в систему — обеспечивает сквозную проверку подлинности. В домашних условиях не нужна.
• Служба ввода планшетного ПК — обеспечивает работу пера и рукописного ввода на планшетах. Выключаем на обычных компьютерах.
• Служба географического положения — отслеживает координаты компьютера. Можно выключить.
• Служба данных датчиков — обрабатывает и хранит информацию, получаемую с датчиков, установленных на ПК.
• Служба датчиков — управляет датчиками на ПК. Не понимаете, о чём речь? Выключайте.
• Служба загрузки изображений Windows (WIA) — можно выключить, если не планируеся подключать к компьютеру сканер или фотоаппарат.
• Служба лицензий клиента — обеспечивает правильную работу магазина Windows 10. Отключите, если не используете его.
• Служба маршрутизатора AllJoyn — насколько я понял, можно отключить, но гарантии не дам.
• Служба маршрутизатора SMS Microsoft Windows — осуществляет пересылку сообщений по заранее созданным правилам. Разбираюсь.
• Служба общего доступа к портам Net.Tcp — предоставляет возможность совместного использования TCP-портов по протоколу Net.Tcp. Если компьютер не используется в качестве сервера, то можно смело выключить.

• Служба перечислителя переносных устройств — отвечает за возможность синхронизации и автоматического воспроизведение файлов с переносных устройств. Используется редко, можно выключить.
• Служба поддержки Bluetooth — тут всё очевидно. Если не используете, отключайте.
• Служба помощника по совместимости программ — отслеживает программы на предмет возникновения проблемы совместимости. Такие ситуации (несмовместимость) возникают довольно редко и даже когда они появляются, эта служба редко может чем-то помочь. Выключим.
• Служба регистрации ошибок Windows — в случае каких-либо сбоев отправляет данные об ошибке в Microsoft, чтобы компания могла её исправить. Вполне можно выключить.
• Служба шифрования дисков BitLocker — даёт возможность шифровать диски. Данная функция используется очень редко домашними пользователями. Можно выключить, если Вы не понимаете, зачем вообще она нужна, или просто её не используете.
• Смарт-карта — обеспечивает доступ к устройствам для чтения смарт-карт. Если таковых нет, надо выключить.
• Теневое копирование тома — создание резервной копии содержимого жёсткого диска (например, предыдущих версий текстовых файлов). Если не планируете использовать восстановление удалённых файлов, выключайте. Это стоит сделать и потому, что служба потребляем много ценных ресурсов, а также производит восстановление очень медленно.
• Удаленный реестр — используется для изменения параметров реестра удалённым пользователем. На домашнем компьютере стоит выключить.
• Удостоверение приложения — помогает AppLocker идентифицировать заблокированные приложения. Можно отключить, если AppLocker не используется или Вы вообще не знаете, что это за зверь.
• Узел системы диагностики — просто выключаем эту ненужную штуку.
• Узел службы диагностики — аналогично предыдущему пункту.
• Факс — отвечает за работу факсимильного аппарата. Если у Вас его нет, смело выключайте.
• Хост библиотеки счетчика производительности — что это так и не разобрался. Многие пишут, что бесболезненно можно выключить.
• Центр обеспечения безопасности — служба, которая отслеживает изменения в настройках и параметрах безопасности Windows 10. В частности, она контролирует антивирусное ПО и брандмауэр. Если они отключены или работают неверно, этот центр выдаёт пользователю соответсвующеее сообщение. Можно и выключить.
• Центр обновления Windows — ну, тут без комментариев всё понятно: служба отвечает за обновление операционной системы Windows 10. Отключать или нет каждый решает сам.

Также можно выключить все сервисы, связанные аппаратной визуализацией Hyper-V — они предназначены для работы виртуальных машинах и нужны единицам. Везде, где видите упоминание Hyper-V в названии службы, можно её отключить.

Некоторые службы в операционной системе Windows 10 появлются при установке пользователем различных программ. Многие из них также могут оказаться ненужными. Но тут всё опять же очень индивидуально.

Биометрия Windows Hello на предприятии

Относится к:

Windows Hello — это функция биометрической проверки подлинности, повышающая ее надежность и обеспечивающая защиту от возможного спуфинга благодаря сопоставлению отпечатков пальцев и распознаванию лиц.

В первых выпусках Windows 10 предоставлялись службы Microsoft Passport и Windows Hello, которые вместе обеспечивали многофакторную проверку подлинности. Чтобы упростить развертывание и расширить возможности поддержки, Microsoft объединила эти технологии в единое решение — Windows Hello. Пользователи, которые уже выполнили развертывание этих технологий, не заметят никаких изменений в функционировании этих служб. Для тех клиентов, которым еще предстоит оценить работу Windows Hello, выполнить развертывание будет гораздо проще благодаря упрощенным политикам, документации и семантике.

Так как мы понимаем, что ваши сотрудники захотят использовать эту новую технологию в вашем предприятии, мы активно работаем с производителями устройств, чтобы создать строгие рекомендации по проектированию и производительности, которые помогут вам более уверенно внедрять Windows Hello биометрии в вашу организацию.

В чем состоит принцип работы Windows Hello?

Windows Hello позволяет сотрудникам использовать в качестве альтернативного способа разблокировки устройства отпечатки пальцев или распознавание лиц. В случае использования Windows Hello проверка подлинности выполняется при вводе сотрудником его/ее уникального биометрического идентификатора во время получения доступа к учетным данным Windows Hello конкретного устройства.

Функция проверки Windows Hello используется для проверки подлинности и подтверждения доступа сотрудников к корпоративной сети. Проверка подлинности не перемещается между устройствами, не разделяется с сервером и не может быть легко извлечена с устройства. Если одно устройство используют несколько сотрудников, то каждый из них будет получать доступ с помощью своих собственных биометрических данных.

Почему сотрудникам следует разрешить использовать Windows Hello?

Windows Hello имеет множество преимуществ, в том числе следующие:

Эта функция повышает уровень защиты учетных данных от кражи. Так как злоумышленник должен иметь как устройство, так и биометрическую информацию или ПИН-код, получить доступ без ведома сотрудника гораздо сложнее.

Сотрудники получают простой метод проверки подлинности (с помощью ПИН-кода), который всегда с ними, поэтому терять нечего. Проблема забытых паролей теперь не актуальна!

Поддержка Windows Hello встроена в операционную систему, поэтому добавлять дополнительные биометрические устройства и политики в рамках скоординированного выпуска или для отдельных сотрудников или групп можно с использованием групповой политики или поставщика служб конфигурации (CSP) управления мобильными устройствами (MDM).
Дополнительные сведения о доступных групповых политиках и поставщиках служб конфигурации MDM см. в разделе Развертывание Windows Hello для бизнеса в организации.

Где хранятся Windows Hello данные?

Биометрические данные, используемые функцией Windows Hello, хранятся только на локальном устройстве. Он не перемещается и никогда не отправляется на внешние устройства или серверы. Такое разделение обеспечивает защиту от возможных атак за счет отсутствия единственной точки сбора, которая может быть скомпрометирована, в результате чего злоумышленник получит доступ к биометрическим данным. Кроме того, даже если злоумышленнику удалось получить биометрические данные с устройства, он не может быть преобразован обратно в необработанные биометрические образцы, которые можно распознать с помощью биометрического датчика.

Каждый датчик на устройстве будет иметь свой биометрический файл базы данных, в котором хранятся данные шаблона. Каждая база данных имеет уникальный, случайно созданный ключ, который шифруется в системе. Данные шаблона для датчика шифруются с помощью этого ключа для базы данных с помощью AES с режимом цепочки CBC. Hash — SHA256. Некоторые датчики отпечатков пальцев имеют возможность выполнить соответствие в модуле датчика отпечатков пальцев, а не в ОС. Эти датчики будут хранить биометрические данные в модуле отпечатков пальцев, а не в файле базы данных.

Установила ли корпорация Майкрософт какие-либо требования к устройствам для использования Windows Hello?

Мы работаем с производителями устройств, чтобы обеспечить высокий уровень производительности и защиты каждого датчика и устройства, исходя из этих требований:

Коэффициент ложного пропуска (FAR). Показатель, определяющий частоту предоставления решением для биометрической идентификации доступа лицам, не имеющим соответствующих полномочий. Как правило, это количество случаев на заданный объем выборки, например 1 к 100 000. Этот показатель также можно представить в виде процентного значения, например 0,001%. Это измерение считается наиболее важным в отношении безопасности биометрического алгоритма.

Коэффициент ложного отказа в доступе (FRR). Показатель, определяющий частоту некорректных отказов в предоставлении решением для биометрической идентификации доступа лицам, имеющим соответствующие полномочия. Обычно выражен процентным значением; сумма коэффициентов ложного пропуска и ложного отказа в допуске равна 1. Может иметь или не иметь защиту от подделывания или функцию определения живучести.

Требования датчику для сканирования отпечатков пальцев

Чтобы разрешить сопоставление отпечатков пальцев, необходимо использовать устройства с датчиками для сканирования отпечатков и соответствующее программное обеспечение. Датчики отпечатков пальцев или датчики, которые используют уникальный отпечаток пальца сотрудника в качестве альтернативного параметра журнала, могут быть сенсорными датчиками (большая область или небольшая область) или датчиками свайпов. Для каждого типа датчика применим собственный набор подробных требований, которые должны быть реализованы производителями; при этом все датчики должны обладать свойствами защиты от подделывания (обязательное требование).

Допустимый диапазон производительности для сенсорных датчиков с любым размером области сканирования

Источник

Windows Hello для бизнеса

Область применения

В Windows 10 служба Windows Hello для бизнеса позволяет заменить пароли строгой двухфакторной проверкой подлинности на компьютерах и мобильных устройствах. В процессе проверки подлинности используется новый тип учетных данных пользователя, привязанных к устройству, включая биометрические данные или ПИН-код.

В первых выпусках Windows 10 предоставлялись службы Microsoft Passport и Windows Hello, которые вместе обеспечивали многофакторную проверку подлинности. Чтобы упростить развертывание и расширить возможности поддержки, Microsoft объединила эти технологии в единое решение — Windows Hello. Пользователи, которые уже выполнили развертывание этих технологий, не заметят никаких изменений в функционировании этих служб. Клиентам, которым еще предстоит оценить возможности Windows Hello, будет гораздо легче выполнить развертывание благодаря упрощенным политикам, документации и семантике.

Windows Hello решает следующие проблемы, связанные с паролями.

Windows Hello позволяет пользователям проверять подлинность:

После первоначальной двухэтапной проверки пользователя при регистрации на устройстве настраивается служба Windows Hello, и пользователю Windows предлагается создать ПИН-код или жест, который может быть биометрическим (например, отпечаток пальца). Пользователь делает жест для подтверждения своей личности. В дальнейшем Windows использует Windows Hello для проверки подлинности пользователей.

Администратор предприятия или образовательного учреждения может создать политики для управления службой Windows Hello для бизнеса на устройствах с Windows 10, подключенных к корпоративной сети.

Вход с использованием биометрических данных

Windows Hello обеспечивает надежную комплексную биометрическую проверку подлинности на основе распознавания лиц или отпечатков пальцев. В Windows Hello используется сочетание из особых инфракрасных (ИК)-камер и программного обеспечения, что повышает точность и защищает от спуфинга. Ведущие производители оборудования поставляют устройства со встроенными камерами, совместимыми с Windows Hello. Оборудование для чтения отпечатков пальцев можно использовать или добавлять на устройства, которые в настоящее время не имеют его. На устройствах, Windows Hello, простой биометрический жест открывает учетные данные пользователей.

Биометрические данные, используемые для реализации Windows Hello, надежно хранятся в Windows только на локальном устройстве. Биометрические данные не перемещаются и никогда не отправляются на внешние устройства или серверы. Поскольку Windows Hello только хранит данные биометрической идентификации на устройстве, нет ни одной точки сбора, на который злоумышленник может скомпрометировать, чтобы украсть биометрические данные. Дополнительные сведения о биометрической проверке подлинности Windows Hello для бизнеса см. в Windows Hello биометрии предприятия.

Различия между Windows Hello и Windows Hello для бизнеса

Для удобства входа пользователи могут создать ПИН-код или биометрический жест на своих личных устройствах. Это использование Windows Hello уникально для устройства, на котором оно настроено, но может использовать простой хаш пароля в зависимости от типа учетной записи человека. Эта конфигурация именуется Windows Hello пин-кодом удобства и не опирается на асимметричную (общедоступный или частный ключ) или проверку подлинности на основе сертификатов.

Windows Hello для бизнеса, который настроен политикой групповой политики или управления мобильными устройствами (MDM), всегда использует проверку подлинности на основе ключей или сертификатов. Это делает его гораздо более безопасным, чем Windows Hello пин-код удобства.

Преимущества Windows Hello

Сообщения о хищении персональных данных и широкомасштабных взломах часто появляются в СМИ. Никто не хочет получить уведомление о том, что его имя пользователя и пароль были раскрыты.

Вам может быть интересно, как ПИН-код помогает защитить устройство лучше, чем пароль. Пароли представляют собой общие секреты; они вводятся на устройстве и передаются по сети на сервер. Перехваченное имя и пароль учетной записи может использоваться любым человеком в любом месте. Учетные данные могут быть раскрыты при взломе сервера, на котором они хранятся.

В Windows 10 служба Windows Hello заменяет пароли. Если поставщик удостоверений поддерживает ключи, Windows Hello подготовка создает пару ключей шифрования, привязанную к модулем доверенных платформ (TPM), если устройство имеет TPM 2.0 или в программном обеспечении. Доступ к этим ключам и подпись, подтверждающая владение закрытым ключом, предоставляются только при вводе PIN-кода или биометрического жеста. В процессе двухэтапной проверки, выполняемой при регистрации в службе Windows Hello, создаются доверительные взаимоотношения между поставщиком удостоверений и пользователем. При этом открытая часть пары «открытый/закрытый ключ» отправляется поставщику удостоверений и связывается с учетной записью пользователя. Когда пользователь выполняет жест на устройстве, поставщик удостоверений определяет по комбинации ключей и жеста Hello, что это проверенное удостоверение, и предоставляет маркер проверки подлинности, с помощью которого Windows 10 получает доступ к ресурсам и службам.

Windows Hello — удобный метод входа в систему, основанный на проверке подлинности по имени пользователя и паролю и одновременно позволяющий пользователям отказаться от ввода паролей.

Представьте, что кто-то подсматривает через ваше плечо при получении денежных средств из банкомата и видит вводимый вами PIN-код. Наличие этого PIN-кода не поможет им получить доступ к учетной записи, так как у них нет банковской карты. Аналогичным образом перехват PIN-кода устройства не позволяет злоумышленнику получить доступ к учетной записи, так как PIN-код привязан к конкретному устройству и не обеспечивает никакой проверки подлинности при попытке доступа с других устройств.

Windows Hello защищает удостоверения и учетные данные пользователей. Поскольку пользователь не вводит пароль (за исключением этапа подготовки), можно предотвратить фишинговые атаки и атаки методом подбора. Эта технология также позволяет предотвратить взломы серверов, так как учетные данные Windows Hello являются асимметричной парой ключей. Поскольку эти ключи защищены доверенными платформенными модулями (TPM), снижается угроза атак с повторением пакетов.

Как работает Windows Hello для бизнеса: основные положения

Учетные данные службы Windows Hello основаны на сертификате или асимметричной паре ключей. Учетные данные Windows Hello привязаны к устройству так же, как и маркер, получаемый с помощью этих учетных данных.

Поставщик удостоверений (например, Active Directory, Azure AD или учетная запись Майкрософт) проверяет удостоверение пользователя и сопоставляет открытый ключ Windows Hello с учетной записью пользователя на этапе регистрации.

Ключи могут генерироваться в аппаратном (TPM 1.2 или 2.0 для предприятий и TPM 2.0 для потребителей) или программном обеспечении на основании политики.

Проверка подлинности — это двухфакторная проверка подлинности с сочетанием ключа или сертификата, привязанного к устройству, и чем-то, что человек знает (ПИН-код) или чем-то, чем является человек (биометрия). Жест Windows Hello не перемещается между устройствами и не разделяется с сервером. Шаблоны биометрии хранятся локально на устройстве. ПИН-код никогда не хранится и не является общим.

Закрытый ключ никогда не оставляет устройство при использовании TPM. На проверяющем подлинность сервере хранится открытый ключ, который был сопоставлен с учетной записью пользователя во время регистрации.

При вводе ПИН-кода или использовании биометрического жеста Windows 10 криптографически подписывает данные, передаваемые поставщику удостоверений, с помощью закрытого ключа. Поставщик удостоверений проверяет удостоверение пользователя и подтверждает его подлинность.

Личные (учетная запись Майкрософт) или корпоративные учетные записи (Active Directory или Azure AD) используют единый контейнер для ключей. Все ключи разделены по доменам поставщиков удостоверений в целях обеспечения конфиденциальности пользователя.

Закрытые ключи сертификатов могут быть защищены контейнером Windows Hello и жестом Windows Hello.

Сравнение проверки подлинности на основе ключа и сертификата

Для подтверждения личности служба Windows Hello для бизнеса может использовать ключи (аппаратные или программные) или сертификаты в аппаратном или программном обеспечении. Предприятия, которые имеют инфраструктуру общедоступных ключей (PKI) для выдачи и управления сертификатами конечных пользователей, могут продолжать использовать PKI в сочетании с Windows Hello. Предприятия, которые не используют PKI или хотят сократить усилия, связанные с управлением пользовательскими сертификатами, могут полагаться на учетные данные на основе ключей для Windows Hello но по-прежнему используют сертификаты на контроллерах домена в качестве корня доверия.

Windows Hello для бизнеса с ключом не поддерживает предоставленные учетные данные для RDP. RDP не поддерживает проверку подлинности с помощью ключа или сертификата самозаверяемой подписи. RDP с Windows Hello для бизнеса поддерживается развертыванием на основе сертификатов в качестве предоставленных учетных данных. Windows Hello для бизнеса доверие ключа можно использовать с помощью Защитник Windows Remote Credential Guard.

Windows Hello для бизнеса в начале 2022 г. внедряет новую модель доверия, называемую облачным доверием. Эта модель доверия позволит развертывать Windows Hello для бизнеса с помощью инфраструктуры, внедренной для поддержки входных ключевых элементов безопасности на присоединенных устройствах Hybrid Azure AD и локальном доступе к ресурсам на устройствах Azure AD Joined. Дополнительные сведения будут доступны в Windows Hello для облачного доверия бизнеса, как только он будет доступен.

Подробнее

Видеопрезентация Microsoft Virtual Academy Знакомство с Windows Hello.

Источник

Windows Hello: биометрическая аутентификация в Windows 10

В качестве альтернативы паролям Windows 10 предложит пользователям возможность аутентификации с помощью биометрии

Компания Microsoft рассказала о своих амбициозных планах добавить в качестве альтернативы паролям биометрическую аутентификацию, которая войдет в состав Windows 10. Попытки заменить пароли чем-то более совершенным продолжаются уже долгие годы. Но у Windows Hello (так в Microsoft называют эту платформу) шансы на победу над древней системой аутентификации с помощью набора символов, пожалуй, наиболее высоки.

Подобрать приемлемую альтернативу паролям не так-то просто: каждая из инициатив вызывает ряд вопросов по части внедрения и/или практичности. Скажем, существует идея заменить пароли татуировками, но она, очевидно, нелепа. У биочипов перспективы, пожалуй, существенно лучше, но все же многие люди наверняка откажутся имплантировать чип в свое тело. Платформа Digits, которую разработали в Twitter, выглядит весьма многообещающе, но ее внедрение требует координации множества людей и компаний.

Операционные системы семейства Windows (от Windows 95 до Windows 8.1), по сведениям Net Marketshare, занимают 90% рынка. Это позволяет быть уверенным, что Windows 10 также получит немалую долю. Следовательно, Windows 10 может продвинуть в массы системы биометрической аутентификации, которые сейчас в основном интересуют гиков и исследователей.

Используя комбинацию аппаратных и программных средств, компьютеры, работающие под управлением Windows 10, как традиционные ПК, так и мобильные, смогут предложить аутентификацию по отпечатку пальца, лицу или радужной оболочке глаза.

«При распознавания лица или радужной оболочки глаза Windows 10 использует специальное аппаратное и программное обеспечение, чтобы понять, что это действительно вы, а не ваша фотография, — говорит Джо Белфиор, вице-президент отделения Microsoft, отвечающего за разработку операционных систем. — Камеры работают в инфракрасном диапазоне, чтобы правильно определять соответствие лица или радужной оболочки в разных условиях освещения».

В Windows 10 пользователи получат возможность биометрической аутентификации

Компьютеры со встроенными датчиками отпечатков пальцев будут совместимы с Windows Hello после установки Windows 10. Более новые устройства, изначально разработанные для использования с Windows 10, будут содержать специализированное «железо», включая камеры, которые могут видеть в ИК-диапазоне, устройства чтения отпечатков пальцев и другие биометрические датчики.

Все мы знаем о том, что у паролей есть существенные недостатки. Хорошие пароли действительно сложно подобрать, но не менее сложно их и запомнить. Плохие пароли запомнить несложно, но и подобрать можно очень быстро. Кроме того, обилие разнообразных сервисов заставляет людей использовать один и тот же пароль на нескольких сайтах.

Конечно, можно пытаться быть примерным пользователем и создавать для каждого сервиса уникальный сложный пароль. Но все это заканчивается тем, что мы вынуждены держать в голове десятки сложных комбинаций символов, которые даже по отдельности запомнить нелегко. Большинству людей такие перспективы не нравятся, в итоге многие используют в качестве пароля бессмертное «12345», а взломы учетных записей происходят регулярно, нередко с весьма интересными последствиями.

Разумеется, на данный момент серьезный анализ уровня защиты, которую предложит Windows Hello в частности и Windows 10 в целом, невозможен хотя бы по той причине, что финальная версия Windows 10 еще не представлена. До анонса еще несколько месяцев, придется подождать. Сама Microsoft обещает «уровень защиты корпоративного класса». Что, впрочем, не является сюрпризом — было бы удивительно, если бы компания этого не обещала.

Есть как минимум одна хорошая новость: Microsoft обещает хранить биометрические данные локально. Так что снимки отпечатков пальцев, лиц и радужных оболочек пользователей будут существовать только на самих устройствах, а не на каком-то сервере где-то в штаб-квартире Microsoft.

Источник

Советы по Windows 10: как настроить Windows Hello

1 November 2016 | Пресс-центр

А вы знали, что с функцией Windows Hello, авторизация на вашем устройстве на базе Windows 10 займет менее двух секунд? Биометрические сенсоры позволяют Windows Hello мгновенно распознать ваше лицо или отпечатки пальцев и разблокировать ваш девайс без ввода пароля.

Для начала проверьте, поддерживает ли ваше устройство технологию Windows Hello:

Открываем «Параметры» (можно просто нажать горячие клавиши Windows + I), затем «Учетные записи», выбираем «Параметры входа» и в самом верху страницы нам улыбнется Windows Hello.

Если опция неактивна, не огорчайтесь. Конечно, можно купить современный компьютер, но можно обойтись сканером отпечатков пальцев или внешней камерой, которые позволят воспользоваться преимуществами Windows Hello.

Как настроить Windows Hello:

Снова открываем «Параметры», затем «Учетные записи», выбираем «Параметры входа» и под заголовком Windows Hello нажимаем кнопку «Настройка». Введите PIN по запросу системы или создайте новый, если вы это еще не сделали. Этот код может понадобиться в качестве альтернативного варианта авторизации.

Чтобы научить Windows узнавать ваше лицо, нужно будет просто смотреть в экран. Для настройки сканера отпечатков, приложите палец к сенсору. Здесь же вы сможете в любое время улучшить распознавание лица или добавить дополнительные отпечатки.

Как настроить несколько учетных записей:

Заходим в «Параметры», потом в разделе «Учетные записи» выбираем пункт «Семья и другие люди». Здесь вы найдете опции «Добавить члена семьи» и «Добавить пользователя для этого компьютера». Достаточно ввести адрес электронной почты для выбранного аккаунта Microsoft.

Выйдите из системы и попросите войти другого пользователя. После авторизации он сможет настроить свою учетную запись, в том числе и параметры Windows Hello.

Хотите узнать больше – почитайте о Windows Hello и о том, как Windows Hello защищает конфиденциальность. Удачи!

Примечание. 1) Обращаем внимание, что для Windows Hello требуется специальное оборудование, например, сканер отпечатков пальцев, инфракрасный сенсор или другой биометрический сенсор и совместимое устройство. 2) С Windows Hello от обнаружения лица или отпечатка до успешной авторизации проходит менее двух секунд, что короче средней продолжительности ввода пароля.

Источник

Отключение или включение пользователей домена Вход в систему с использованием биометрии в Windows 10

Windows 10 поддерживает использование биометрии. Он уже поддерживает PIN-код, пароль и пароль изображения на всех компьютерах, но при наличии соответствующего оборудования Windows 10 также поддерживает сканирование лица, сканирование радужной оболочки глаза и сканирование отпечатков пальцев. Эти настройки можно найти в разделе «Настройки»> «Аккаунты»> «Параметры входа» . Но иногда, даже если имеется аппаратное обеспечение для поддержки этой функции, называемой Windows Hello, вы можете не найти опции, доступные для включения этой функции. В этом посте показано, как включить или отключить вход пользователей домена в Windows 10 с помощью биометрии с использованием реестра или GPEDIT.

Разрешить пользователям домена вход в систему с использованием биометрии

Я рекомендовал вам создать точку восстановления системы. Это связано с тем, что при выполнении таких модификаций есть вероятность, что что-то сломается на стороне программного обеспечения вашего компьютера. Или, если у вас нет привычки создавать точку восстановления системы, я бы действительно рекомендовал вам часто ее создавать.

Использование редактора реестра

Нажмите комбинацию кнопок WINKEY + R, чтобы запустить утилиту Run, введите regedit и нажмите Enter. После открытия редактора реестра перейдите к следующему

HKEY_LOCAL_MACHINE ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ Политики Microsoft Биометрия Поставщик учетных данных

Теперь щелкните правой кнопкой мыши на правой боковой панели и выберите New> DWORD (32-bit) Value.

Установите имя этого вновь созданного DWORD как Учетные записи домена .

Значение запрещает пользователям домена вход в Windows 10 с использованием биометрии.

Выйдите из редактора реестра и перезагрузите компьютер, чтобы изменения вступили в силу.

Использование редактора групповой политики

Нажмите комбинацию кнопок WINKEY + R, чтобы запустить утилиту Run, введите gpedit.msc и нажмите Enter. После открытия редактора групповой политики перейдите к следующему параметру:

Конфигурация компьютера> Административные шаблоны> Компоненты Windows> Биометрия

Теперь на правой боковой панели дважды щелкните следующие записи и установите переключатель Включено для всех них,

Выйдите из редактора групповой политики и перезагрузите компьютер, чтобы изменения вступили в силу. Это активирует настройку.

Источник

Главным отличием Windows 10 от предыдущей версии является полноценное меню «Пуск». Однако в этой редакции ОС доступ к программам и документам дополняет меню с приложениями в плиточном дизайне. Такое нововведение не должно напугать пользователей Windows 7, так как меню полностью настраивается. Динамические плитки могут менять размер и расположение. Помимо этого их можно группировать, закреплять на месте или удалять ненужные. Теперь в меню «Пуск» также находятся кнопки с выключением компьютера, настройками аккаунта, параметрами ОС и другими необходимыми функциями управления.

Эту опцию можно обнаружить в правой части рабочего стола. Сам значок находится в панели задач возле часов. Теперь не открывая множество окон, можно узнать о состоянии системы, проблемах ОС, уведомлениях из Skype, Store, календаря и будильника. Также сюда включены опции выбора режима работы устройства, настройки VPN, подключения и другие параметры компьютера.

Для тех, кто пользовался смартфонами на Windows Phone 8.1, эта опция не покажется новой. Голосовой помощник Cortana теперь присутствует и в Windows 10. Однако российская версия появится на компьютерах чуть позже. Для создания сервиса был задействован искусственный интеллект, поэтому Cortana может помочь в планировании дел, поиске информации на компьютере и в сети, настроит необходимые уведомления и сообщит об изменении ситуации на дороге, погоде или отмене авиарейса. Пользователи новой ОС смогут по достоинству оценить возможности общения с помощником, который способен даже шутить.

Совершенно новый браузер Microsoft Edge встанет на место привычного Internet Explorer. Он синхронизирован с помощником Cortana и обладает удобным и интуитивно понятным интерфейсом. Разработчики обещают высокую скорость работы браузера. IE останется в Windows 10 и будет обеспечивать обратную корпоративную совместимость.

Для тех пользователей, которые пользуются гибридными компьютерами и ультрабуками теперь не надо переключаться между планшетным и ПК режимами. Благодаря автоматической оптимизации Windows 10 при отключении клавиатуры или изменении режима работы дисплей выбирает соответствующий формат отображения системы. Для ручного изменения режимов достаточно зайти в новый центр уведомлений.

Следуя опыту других ОС, разработчики внесли в Windows 10 опцию с несколькими виртуальными рабочими столами. Значок программы находится в панели задач в левом нижнем углу экрана. На каждом созданном рабочем столе может быть открыт собственный набор программ и приложений. Также можно закрывать любые из открытых программ или переносить их, не переключаясь между виртуальными окружениями.

Корпорация Microsoft обновила магазин Store для Windows 10, предлагая универсальные приложения для пользователей ПК, планшетов, игровых приставок Xbox и смартфонов. Изменилась также навигация, дизайн интерфейса, рейтинговая система и добавились новые категории для приложений.

Синхронная передача игр с Xbox One на любое устройство с Windows 10 позволит владельцам консоли управлять приложениями прямо с компьютера и планшета. Чтобы это сделать, достаточно зайти в меню приставки и в настройках разрешить потоковую передачу игр. На самом ПК необходимо зайти в приложение Xbox и в меню подключения добавить устройство. После чего кликнуть по кнопке «Игра с консоли» и наслаждаться вещанием. Вместе с приложением Xbox пользователи получают опцию Game DVR с возможностью записи игры в формате MP4 и создания Print Screen.

Владельцы Windows 8 успели оценить антивирус Windows Defender. Для новой версии разработчики упростили систему управления и активировали возможность автоматического управления защитой ПК в случае отсутствия обновлений у стороннего антивируса.

К привычному email-клиенту добавились возможности форматирования текстов писем, появились новые инструменты для создания таблиц, маркеров, изображений, обновилась система навигации, средства управления входящими сообщениями и многое другое.

С Windows 10 у пользователей появилась возможность запуска опции биометрической идентификации Windows Hello. Для получения доступа потребуется просканировать лицо, радужку глаза или отпечаток пальца. Такая функция может стать альтернативой обычному паролю. Причем закрытый доступ можно настроить также для определенных приложений или сервисов. Чтобы использовать этот механизм потребуется приобрести необходимое оборудование с датчиками и сенсорами.

Технология Hiberboot предоставляет системе Windows 10 быстрый запуск, а InstantGo сохраняет интернет соединение с отключенным монитором и в режиме ожидания.

Для большей безопасности системы в Windows 10 работают Secure Boot и ELAM. Последний модуль оценивает запускаемые драйвера и препятствует установке вирусных программ во время загрузки системы.

Очередной защитный сервис для корпоративных устройств, позволяющий запускать только доверенные приложения, подписанные поставщиками ПО. Администратор также может самостоятельно определять надежность софта и с помощью специальных инструментов подписывать приложения самостоятельно.

С помощью сервиса Feedback можно следить за последними новостями от разработчиков и оставлять собственные комментарии о работе Windows 10.

Данная функция позволит всем пользователям автоматически получать пароли от Wi-Fi для работы с программами Facebook, Skype и Outlook. Изменить настройки сервиса можно в сетевых подключениях в разделе «Управление параметрами сети Wi-Fi».

Делая упор на портативность, Windows 10 позаботилась о контроле трафика приложений. Можно не только отслеживать динамику данных, но и управлять подключениями, активируя режим экономии. В результате может быть приостановлена синхронизация, обновления и другие процессы.

В обновленной программе Windows maps теперь можно создавать маршруты, аэрофотоснимки и 3-D изображения городов. Появилась категория «Избранное», возможность сохранения карты на компьютер и использование ее без активного интернет доступа. Владельцы автомобилей оценят возможность отслеживать пробки.

Windows 10 поддерживает компонент API DirectX 12. Он идет в комплекте с играми и графическими процессорами. Версию DirectX можно проверить через утилиту dxdiag.

Благодаря приложению Snap Assist пользователи могут расположить на экране до 4 окон, используя предлагаемое пространство монитора еще эффективнее. Приложение также способно предлагать свои варианты расположения для запущенных программ.

Опыт других ОС позволил Windows 10 применить удобную функцию прокрутки неактивных окон для собственных приложений. Это особенно актуально, если запущено множество программ.

Разработчики Windows 10 продумали единый дизайн календаря для ПК и планшетов, проведя интеграцию с личными контактами и почтой. Также здесь можно увидеть погоду и пробки на дорогах для более быстрой коррекции своего расписания.

Универсальное приложение для просмотра фотографий пользователя может создавать альбомы, каталоги, группирует изображения по дате, позволяет автоматически обработать фото и загрузить его в OneDrive. Фотографов порадует опция открытия фотографий в RAW.

Время прочтения
8 мин

Просмотры 20K

Делимся с вами обзорным материалом про службу Windows Hello, обеспечивающую двухфакторную проверку на Windows 10. Также вы узнаете, чем она будет полезна для крупных компаний, почему стоит выбирать PIN-код, а не пароль и как её настроить.

Windows Hello — что это и зачем?

В Windows 10 служба Windows Hello для бизнеса заменяет пароли на строгую двухфакторную проверку подлинности на компьютерах и мобильных устройствах. Она заключается в создании нового типа учетных данных пользователя в привязке к устройству, использовании биометрических данных или PIN-кода.

В первых версиях Windows 10 были службы Microsoft Passport и Windows Hello, которые обеспечивали многофакторную проверку подлинности. Чтобы упростить развертывание и расширить возможности поддержки, Microsoft объединила эти технологии в единое решение — Windows Hello. Если вы уже выполнили развертывание этих технологий, то вы не заметите никаких изменений в функционировании служб. Для тех, кому еще предстоит оценить работу Windows Hello, выполнить развертывание будет гораздо проще благодаря упрощенным политикам, документации и семантике.

Служба Hello призвана решать типичные проблемы пользователей, возникающие при работе с паролями:

• Пароли могут быть трудны для запоминания, и пользователи часто повторно используют пароли на нескольких сайтах.
• Взломы сервера могут раскрывать симметричные сетевые учетные данные.
• Пароли могут подлежать атакам с повторением пакетов.
• Пользователи могут непреднамеренно предоставить свой пароль вследствие фишинга.

Hello позволяет выполнить проверку подлинности учетной записи Microsoft, учетной записи Active Directory, учетной записи Microsoft Azure Active Directory (Azure AD) и службы поставщика удостоверений или службы проверяющей стороны, которые поддерживают проверку подлинности Fast ID Online (FIDO) v2.0.

После начальной двухэтапной проверки при регистрации на вашем устройстве настраивается служба Hello, и вы сами устанавливаете жест, который может быть как биометрическим, например отпечатком пальца, так и PIN-кодом. Далее необходимо сделать жест для проверки своего удостоверения. После этого Windows использует Hello для проверки подлинности и предоставления им доступа к защищенным ресурсам и службам.

От имени администратора компании или общеобразовательной организации можно создать политики управления Hello для использования на устройствах под управлением Windows 10, которые подключаются к вашей организации.

Разница между Windows Hello и Windows Hello для бизнеса

Windows Hello предназначена для удобного и безопасного входа пользователя. Такое использование Hello обеспечивает отдельный уровень защиты, так как является уникальным для устройства, на котором настраивается, однако проверка подлинности на основе сертификатов при этом отсутствует.

Служба Windows Hello для бизнеса, которая настраивается групповой политикой или политикой MDM, использует проверку подлинности на основе ключа или сертификата.

В настоящее время в учетных записях Active Directory с использованием Windows Hello не поддерживается проверка подлинности на основе ключа или сертификата. Эта функция должна появиться в будущем выпуске.

Почему PIN-код, а не пароль?

Пароли представляют собой общие секреты, они вводятся на устройстве и передаются по сети на сервер. Перехваченные имя и пароль учетной записи могут быть использованы кем угодно. Например, учетные данные могут быть раскрыты при взломе сервера.

В Windows 10, в процессе подготовки, служба Hello создает пару криптографических ключей, привязанных к доверенному платформенному модулю (TPM), если устройство оснащено таким модулем, или в программной реализации. Доступ к этим ключам и получение подписи для проверки того, что пользователь владеет закрытым ключом, предоставляется только при вводе PIN-кода или биометрического жеста. Двухэтапная проверка, которая происходит при регистрации в службе Hello, формирует доверительные взаимоотношения между поставщиком удостоверений и пользователем, когда открытая часть пары «открытый/закрытый ключ» отправляется поставщику удостоверений и связывается с учетной записью пользователя. Когда пользователь выполняет жест на устройстве, поставщик удостоверений определяет по комбинации ключей Hello и жеста, что это проверенное удостоверение, и предоставляет маркер проверки подлинности, с помощью которого Windows 10 получает доступ к ресурсам и службам. Кроме того, в процессе регистрации генерируется претензия по удостоверению для каждого поставщика удостоверений, чтобы криптографически подтвердить, что ключи Hello привязаны к TPM. Если претензия по удостоверению во время регистрации не выставляется поставщику удостоверений, поставщик удостоверений должен предполагать, что ключ Hello создан программно.

Представьте, что кто-то подсматривает через ваше плечо при получении денежных средств из банкомата и видит вводимый вами PIN-код. Наличие этого PIN-кода не поможет им получить доступ к учетной записи, так как у них нет банковской карты. Аналогичным образом перехват PIN-кода для устройства не позволяет злоумышленнику получить доступ к учетной записи, так как PIN-код является локальным для конкретного устройства и не обеспечивает никакого типа проверки подлинности с любого другого устройства.

Hello как раз позволяет защищать удостоверения и учетные данные пользователей. Так как пароли не используются, фишинг и атаки методом подбора становятся бесполезными. Эта технология позволяет также предотвратить взломы серверов, так как учетные данные Hello являются асимметричной парой ключей, что предотвращает атаки с повторяющимися пакетами, так как эти ключи защищены доверенными платформенными модулями (TPM).

Также можно использовать устройства с Windows 10 Mobile в качестве удаленных учетных данных при входе на ПК под управлением Windows 10. В процессе входа в систему ПК под управлением Windows 10 он может подключаться и получать доступ к Hello на вашем устройстве под управлением Windows 10 Mobile по Bluetooth. Поскольку мы всегда носим с собой телефон, Hello позволяет гораздо проще реализовать двухфакторную проверку подлинности.

Функция входа через телефон в данный момент доступна только отдельным участникам программы принятия технологий (TAP).

Так как же PIN-код помогает защитить устройство лучше, чем пароль?

Преимущества PIN-кода в сравнении с паролем связаны не с его структурой (длиной и сложностью), а с принципом работы.

1. PIN-код привязан к устройству. Злоумышленник, получивший доступ к паролю, может войти в учетную запись с любого устройства, но в случае кражи PIN-кода вход в учетную запись будет невозможен без доступа к соответствующему устройству.

2. PIN-код хранится на устройстве локально. Пароль передается на сервер и может быть перехвачен в процессе передачи или украден с сервера. PIN-код задается на устройстве на локальном уровне, не передается и не хранится на сервере. При создании PIN-кода устанавливаются доверительные отношения с поставщиком удостоверений и создается пара асимметричных ключей, используемых для проверки подлинности. При вводе PIN-кода ключ проверки подлинности разблокируется и используется для подтверждения запроса, отправляемого на сервер для проверки подлинности.

3. PIN-код поддерживается оборудованием. PIN-код Hello поддерживается микросхемой доверенного платформенного модуля (TPM), представляющей собой надежный криптографический процессор для выполнения операций шифрования. Эта микросхема содержит несколько механизмов физической защиты для предотвращения взлома, и вредоносные программы не могут обойти функции безопасности TPM. TPM применяется во всех телефонах с Windows 10 Mobile и во многих современных ноутбуках.

Материал ключа пользователя создается и становится доступным в доверенном платформенном модуле (TPM) на устройстве пользователя, что защищает материал от перехвата и использования злоумышленниками. Поскольку технология Hello подразумевает использование пар асимметричных ключей, учетные данные пользователей не будут похищены в случае нарушения безопасности поставщика удостоверений или веб-сайтов, к которым пользователь осуществляет доступ.

TPM защищает от множества известных и потенциальных атак, в том числе атак методом подбора PIN-кода. После определенного количества попыток ввода неправильного PIN-кода устройство блокируется.

4. PIN-код может быть сложным. К PIN-коду Windows Hello для бизнеса применяется тот же набор политик управления ИТ, что и к паролю, в том числе сложность, длина, срок действия и история изменений. Несмотря на уверенность большинства пользователей в том, что PIN-код представляет собой простой код из 4 цифр, администраторы могут устанавливать для управляемых устройств политики, предполагающие уровень сложности PIN-кода, сопоставимый с паролем. Вы можете сделать обязательными или запретить специальные знаки, буквы в верхнем и нижнем регистрах, а также и цифры.

Раздел меню настроек в котором задаются параметры PIN-кода и биометрия:

Что произойдет в случае кражи ноутбука или телефона?

Для нарушения безопасности учетных данных Windows Hello, защищаемых TPM, злоумышленнику нужно осуществить доступ к физическому устройству, найти способ похитить биометрические данные пользователя или подобрать PIN-код. Все это нужно сделать раньше, чем функциональный механизм защиты от взлома TPM заблокирует устройство. Для ноутбуков, не имеющих TPM, можно настроить дополнительную защиту, активировав BitLocker и ограничив количество неудачных попыток входа в систему.

Настройка BitLocker без TPM

С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику:

Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Шифрование диска BitLocker → Диски операционной системы → Требовать дополнительной проверки подлинности при запуске

В параметрах политики выберите Разрешить использование BitLocker без совместимого TPM, а затем нажмите кнопку ОК.

Перейдите в меню Панель управления → Система и безопасность → Шифрование диска BitLocker и выберите диск с операционной системой, который требуется защитить.

С помощью редактора локальных групповых политик (gpedit.msc) активируйте следующую политику: Конфигурация компьютера → Параметры Windows → Параметры безопасности → Политики учетных записей → Политика блокировки учетных записей → Пороговое значение блокировки.

Установите допустимое количество неудачных попыток входа в систему и нажмите ОК.

Как работает Windows Hello для бизнеса: основные положения

1. Учетные данные службы Hello основаны на сертификате или асимметричной паре ключей и привязаны к устройству, как и маркер, получаемый с помощью учетных данных.

2. Поставщик удостоверений (например, Active Directory, Azure AD или учетная запись Майкрософт) проверяет удостоверение пользователя и сопоставляет открытый ключ Hello с учетной записью пользователя на этапе регистрации.

3. Ключи могут генерироваться в аппаратном (TPM 1.2 или 2.0 для предприятий и TPM 2.0 для потребителей) или программном обеспечении на основании политики.

4. Проверка подлинности — это двухфакторная проверка с использованием сочетания ключа или сертификата, привязанного к устройству, и информации, известной пользователю PIN-код), или идентификационных данных пользователя (Windows Hello). Жест Hello не перемещается между устройствами и не предоставляется серверу. Он хранится локально на устройстве.

5. Закрытый ключ никогда не покидает устройство. Проверяющий подлинность сервер имеет открытый ключ, который был сопоставлен с учетной записью пользователя во время регистрации.

6. Ввод PIN-кода и биометрических жестов приводит к проверке удостоверения пользователя в Windows 10 и проверке подлинности с использованием ключей или сертификатов Hello.

7. Личные (учетная запись Майкрософт) или корпоративные учетные записи (Active Directory или Azure AD) использует один контейнер для ключей. Все ключи разделены по доменам поставщиков удостоверений в целях обеспечения конфиденциальности пользователя.

8. Закрытые ключи сертификатов могут быть защищены контейнером Hello и жестом Hello.

Сравнение проверки подлинности на основе ключа и сертификата

Для подтверждения личности служба Windows Hello для бизнеса может использовать ключи (аппаратный или программный) или сертификаты с ключами в аппаратном или программном обеспечении. Предприятия с инфраструктурой открытых ключей (PKI) для выпуска и управления сертификатами могут продолжать использовать PKI вместе со службой Hello. Предприятия, у которых нет PKI или которые хотят сократить объем работ, связанных с управлением сертификатами, могут использовать для службы Hello учетные данные на основе ключа.

Аппаратные ключи, которые создаются модулем TPM, обеспечивают наиболее высокий уровень гарантии. При изготовлении в модуль TPM помещается сертификат ключа подтверждения (EK). Этот сертификат EK создает корневое доверие для всех других ключей, которые генерируются в этом модуле TPM. Сертификация EK используется для генерации сертификата ключа удостоверения подлинности (AIK), выданного службой сертификации Microsoft. Этот сертификат AIK можно использовать как претензию по удостоверению, чтобы доказать поставщикам удостоверений, что ключи Hello генерировались одним и тем же TPM. Центр сертификации Майкрософт (CA) генерирует сертификат AIK для каждого устройства, пользователя и IDP, чтобы гарантировать защиту конфиденциальности.

Если поставщики удостоверений, например Active Directory или Azure AD, регистрируют сертификат в службе Hello, Windows 10 будет поддерживать тот же набор сценариев, что и смарт-карта. Если тип учетных данных представляет собой ключ, будет поддерживаться только доверие и операции на основе ключа.

Мы постарались написать для вас подробный и понятный туториал по работе со службой Windows Hello. Если у вас остались вопросы, задавайте в комментариях.

Включение и отключение компонентов Windows 10

Как известно, Windows 10 отличается набором компонентов от предыдущих версий операционных систем Windows. Зачастую требуется их включить или выключить, чтобы они не потребляли системные ресурсы, да и просто не мешали. В этой статье мы рассмотрим как это сделать быстрее и эффективнее.

Начнем с того, что существует два основных способа работы с компонентами (они еще называются features) — утилита DISM и командлеты Powershell. И то и другое встроено в Windows 10, в отличие от Windows 7, где dism можно было добавить или установив пакет Windows ADK, или руками скопировав dism.exe с другого компьютера.

Сразу отмечу, что утилиту dism и среду powershell для работы с системой необходимо запускать от имени администратора, даже если ваш аккаунт уже находится в группе локальных админов. Итак, вы или находите cmd или windows powershell в меню и, кликнув правой кнопкой мышки, выбираете «Запуск от имени администратора».

В Windows 10 есть понятие Features и Capabilities. Первое — это привычные нам компоненты, которые можно найти в Панели управления -> Программы и компоненты -> Включение и отключение компонентов Windows. То есть это встраиваемые модули, которые выполняют определенный сервисный функционал.

Capabilities — это дополнительные возможности, которые расширяют возможности интерфейса и увеличивают удобство пользователя. Среди них — Language packs, наборы шрифтов. Да, Microsoft удалил часть нестандартных шрифтов, которые теперь вынесены в опциональные компоненты. Скачать эти компоненты можно в виде ISO файла с сайта Volume Licensing Service Center или напрямую через Internet и графический интерфейс Windows. Такую концепцию Microsoft назвала Features on Demand (FOD). Их в более ранних версия Windows не было.

Работаем с Windows Features

Итак, список установленных компонентов можно посмотреть командой

Dism /online /Get-Features

Вот как в Powershell можно получить список всех компонентов командлетами Get-WindowsFeature (для Windows Server) или Get-WindowsOptionalFeature (Windows 10):

Чтобы получить список отключенных компонентов, введите:

Get-WindowsOptionalFeature -Online | ? state -eq ‘disabled’ | select featurename

Этот список также можно вывести в файл (для windows Server):

Get-WindowsFeature | Where-Object <$_.Installed -match “True”>| Select-Object -Property Name | Out-File C:TempWindowsFeatures.txt

Посмотрев список названий и их состояние, можно использовать эти названия для того, чтобы компоненты включить или выключить:

Dism /online /Enable-Feature /FeatureName:TFTP /All

ключ /All позволяет включить также все дочерние компоненты;

Установка компонентов через Powershell выполняется командой Enable-WindowsOptionalFeature.

Enable-WindowsOptionalFeature -Online -FeatureName RSATClient-Roles-AD-Powershell

Параметр -All включает все дочерние компоненты.

Dism /online /Disable-Feature /FeatureName:TFTP

Аналогично, через Powershell это можно сделать командой Disable-Windowsoptionalfeature -online -featureName [feature name].

Обратите внимание, некоторые фичи имеют разные названия в Windows 7 и Windows 10. Например, RSAT в Windows 7 — это RemoteServerAdministrationTools, а в Windows 10 — RSATclient.

Управление Features on Demand (FOD)

Если вы устанавливаете их через графический интерфейс, то вам необходимо пройти “System –> App & features –> Manage optional features” и нажать знак + напротив необходимых компонентов.

Чтобы сделать это автоматизированно через командную строку, наберите чтобы получить список доступных компонентов:

DISM.EXE /Online /Get-Capabilities

Как и прежде, запомните название необходимых вам компонентов, чтобы включить их командой (на примере .Net Framework 3):

DISM.EXE /Online /Add-Capability /CapabilityName:NetFx3

Add-WindowsCapability –Online -Name NetFx3

Если же у вас нет доступа в Интернет, то есть выход. Итак, вы скачиваете ISO образ диска с FOD компонентами с сайта Volume Licensing Service Center. Файлы будут разные для разных релизов Windows 10 — 1511, 1607, 1703, 1709. Важно помнить, что компоненты одного релиза не подходят к другому. Если вы сделаете in-place upgrade (установка одного релиза поверх другого через обновление), то несовместимые установленные компоненты будут удалены без вашего желания! Да, Microsoft удаляет то, что считает несовместимым при обновлении.

Так вот, ISO файл содержит набор неизвестных и сложных для понимания файлов с расширением cab. Вот чудесный файлик на сайта Microsoft, который обясняет назначение каждого файла. Итак, существуют следующие типы FOD:

• Microsoft-Windows-LanguageFeatures-Basic — проверка правописания для различных языков и раскладок клавиатуры;
• Microsoft-Windows-LanguageFeatures-Fonts — национальные шрифты, например, азиатские
• Microsoft-Windows-LanguageFeatures-OCR — средства для распознавания шрифтов
• Microsoft-Windows-LanguageFeatures-Handwriting — средства для распознавания рукописного ввода
• Microsoft-Windows-LanguageFeatures-TextToSpeech — средства преобразования текста в голос, используемые подсказчиком Cortana
• Microsoft-Windows-LanguageFeatures-Speech — распознавание голоса
• Microsoft-Windows-InternationalFeatures — пакеты национальных настроек, например, для Тайваня

Итак, для добавления таких FOD компонентов, используйте команды вида (замените имя компонента):

Dism /Online /Add-Capability /CapabilityName:Language.Basic

Dism /Online /Remove-Capability /CapabilityName:Language.Basic

Установка и переустановка пакетов языков (Language Interface Packs, LIP)

Язык интерфейса Windows можно поменять, установив так называемые LIP. ранее они назывались MUI (Multi user interface). Файлы LIP выглядят так: Microsoft-Windows-Client-Language-Pack_x64_es-es.cab для испанского языка. Выглядеть установка будет примерно так:

Dism /Add-Package /online /PackagePath:»C:LanguagesMicrosoft-Windows-Client-Language-Pack_x64_fr-fr.cab»

Dism /Remove-Package /online /PackageName:Microsoft-Windows-Client-LanguagePack-Package

В следующей статье мы поговорим как с помощью DISM и Powershell управлять так называемыми Modern-приложениями AppX.

Источник

Включение и отключение компонентов в Windows 10

Некоторые функции и программы, имеющиеся в Windows 10, отключены по умолчанию, но их можно запустить вручную. Используя те же способы, можно деактивировать многие системные сервисы и приложения. Меню управления компонентами расположено в настройках системы.

Что не стоит отключать

Во-первых, стоит учесть, что отключённые компоненты не стираются из системы и остаются в памяти жёсткого диска. Они временно перестают быть доступны, то есть найти и запустить их будет нельзя до тех пор, пока пользователь снова не активирует их в настройках Windows. Единственный повод блокировать к некоторым программам доступ — обезопасить неопытных пользователей от случайного их использования с неприятными последствиями.

Во-вторых, от некоторых компонентов зависит система, поэтому их отключение может привести к тому, что Windows начнёт работать некорректно или вовсе перестанет отвечать. Если вы не знаете, для чего нужен тот или иной сервис и можно ли его деактивировать, то не трогайте данный компонент. В противном случае повышается риск того, что придётся потратить много времени на восстановление системы. Например, отключение службы «Печать PDF» приведёт к тому, что Windows не сможет работать с PDF-файлами, а при отключённом компоненте NET Framework многие приложения не смогут открыться.

Не рекомендуется отключать следующие службы: .NET Framework, Media Features, Print to PDF, PowerShell, службы печати и документов.

Активация и деактивация компонентов

Есть несколько способов, позволяющих просмотреть список включённых и отключённых компонентов и отредактировать его. Сторонние программы не понадобятся, так как все необходимые средства встроены в Windows 10. В конце статьи представлена таблица со списком всех компонентов и задач, которые они выполняют. С помощью неё вы сможете понять, какие компоненты нужны вам включёнными, а какие — нет.

Через панель управления

Панель управления — основное приложение системы, в котором находятся практически все настройки, с которыми когда-либо придётся контактировать пользователю. В том числе в нём есть и параметры компонентов:

1. Разверните панель управления, найдя её при помощи системной поисковой строки. Открываем панель управления
2. Перейдите к блоку «Программы и компоненты». Его можно найти по названию с помощью поисковой строки. Открываем раздел «Программы и компоненты»
3. Нажмите на строку «Включение и отключение компонентов Windows». Заметьте, переход к этому разделу требует прав администратора. Нажимаем на строчку «Включение и отключение компонентов Windows»
4. Развернётся полный список компонентов: включённые имеют тёмный квадратик, выключенные — белый незакрашенный квадрат. Если у компонента имеется иконка с плюсом, значит у него есть подкомпоненты, список которых открывается кликом по значку с плюсом. Отключение главного компонента приведёт к деактивации всех его подкомпонентов. Выбираем, какие компоненты стоит включить, а какие — отключить

Через параметры системы

Альтернативный способ настройки системы — использование приложения «Параметры». С помощью него также можно выполнить детальную настройку многих характеристик Windows, в том числе и компонентов:

1. Разверните приложение «Параметры», найти его можно по названию при помощи системной поисковой строки. Открываем параметры системы
2. Перейдите к блоку «Приложения». Нажимаем на раздел «Приложения»
3. Находясь в подпункте «Приложения и возможности», нажмите на строчку «Управление дополнительными компонентами». Нажимаем на кнопку «Управление дополнительными компонентов»
4. Появится список используемых компонентов. Чтобы отключить один из них, кликните по нему левой кнопкой мыши, а потом нажмите кнопку «Удалить». Нажимаем кнопку «Удалить»
5. Чтобы добавить новый компонент, используйте кнопку «Добавить компонент», после нажатия которой откроется список неиспользуемых сервисов. Выберите из них нужный вам и кликните по кнопке «Установить». Нажимаем кнопку «Установить»

Видео: настройка компонентов Windows 10

Таблица: список компонентов и их задачи

Используя нижеприведенную таблицу можно узнать, для чего нужен тот или иной компонент. Обладая этой информацией, вы вправе самостоятельно решить, какие компоненты стоит отключить, а какие лучше оставить включёнными.

Включая новые компоненты, вы сможете увеличить возможности системы, отключая старые — обезопасите неопытных пользователей от неправильного использования некоторых программ. Но помните, что избавляться можно только от тех служб, которые не задействованы в работе системы и запуске приложений.

Источник