Многофакторная разблокировка

Windows Hello для бизнеса поддерживает использование одного удостоверения (ПИН-кода и биометрии) для разблокировки устройства. Поэтому, если какие-либо учетные данные будут скомпрометированы (подсмотрены), злоумышленник сможет получить доступ к системе.

Windows Hello для бизнеса можно настроить с многофакторной разблокировкой, расширив Windows Hello доверенными сигналами. Администраторы могут настроить устройства для запроса сочетания факторов и доверенных сигналов для их разблокировки.

Многофакторная разблокировка идеально подходит для организаций, которые:

• Заявили, что ПИН-коды сами по себе не соответствуют их потребностям в безопасности
• Запретить доступ к учетным данным для информационных работников
• Требуется, чтобы организации соблюдали нормативную политику двухфакторной проверки подлинности.
• Хотите сохранить знакомый пользовательский интерфейс входа в Windows и не соглашаться на пользовательское решение

Принцип работы

Первый поставщик учетных данных разблокировки и второй поставщик учетных данных разблокировки отвечают за большую часть конфигурации. Каждый из этих компонентов содержит глобальный уникальный идентификатор (GUID), который представляет отдельный поставщик учетных данных Windows. Если параметр политики включен, пользователи разблокировать устройство с помощью по крайней мере одного поставщика учетных данных из каждой категории, прежде чем Windows позволит пользователю перейти на свой рабочий стол.

Параметр политики состоит из трех компонентов:

• Поставщик учетных данных первого фактора разблокировки
• Поставщик учетных данных второго фактора разблокировки
• Сигнальные правила для разблокировки устройства

Настройка факторов разблокировки

Части Поставщик учетных данных первого фактора разблокировки и Поставщик учетных данных второго фактора разблокировки параметра политики содержат список разделенных запятыми поставщиков учетных данных.

Поддерживаемые поставщики учетных данных:

К поставщикам учетных данных по умолчанию для Поставщика учетных данных первого фактора разблокировки относятся:

• PIN-код
• Отпечаток пальца
• Распознавание лица

К поставщикам учетных данных по умолчанию для Поставщика учетных данных второго фактора разблокировки относятся:

• Доверенный сигнал
• PIN-код

Создайте список разделенных запятыми идентификаторов GUID поставщиков учетных данных, которых вы будете использовать как первый и второй фактор разблокировки. Хотя поставщик учетных данных может отображаться в обоих списках, учетные данные, поддерживаемые этим поставщиком, могут удовлетворять только одному из факторов разблокировки. Перечисленные поставщики учетных данных не обязательно должны находиться в определенном порядке.

Например, если добавить поставщики учетных данных по PIN-коду и отпечаткам пальцев в списки первого и второго фактора, пользователь может применять отпечаток пальца или PIN-код как первый фактор разблокировки. Какой бы фактор вы ни использовали для удовлетворения первого коэффициента разблокировки, нельзя использовать для удовлетворения второго коэффициента разблокировки. Поэтому каждый фактор может использоваться только один раз. Поставщик доверенного сигнала может быть указан только как часть списка поставщиков учетных данных второго фактора разблокировки.

Настройка правил сигнала для поставщика учетных данных доверенного сигнала

Параметр Сигнальные правила для разблокировки устройства содержит правила, которые поставщик учетных данных доверенного сигнала использует для обеспечения соответствия всем условиям разблокировки устройства.

Элемент правила

Вы указываете правила сигналов в формате XML. Каждое правило сигнала содержит начальный и конечный rule элементы, содержащие schemaVersion атрибут и значение. Текущая поддерживаемая версия схемы — 1.0.

Пример

<rule schemaVersion="1.0">
</rule>

Один элемент

Каждый элемент rule имеет элемент signal . Все элементы сигнала имеют type элемент и value. Поддерживаемые значения:

• порт Bluetooth
• ipConfig
• wifi

Bluetooth

Вы определяете сигнал Bluetooth с дополнительными атрибутами в элементе signal. В конфигурации bluetooth не используются другие элементы. Элемент signal можно завершить коротким конечным тегом />.

Пример:

<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Атрибут classofDevice по умолчанию имеет значение Phone и использует значения из следующей таблицы:

Значение атрибута rssiMin показывает необходимый уровень сигнала, чтобы устройство считалось "находящимся в радиусе действия". Значение по умолчанию -10 позволяет пользователю перемещаться по офису среднего размера или рабочему кабинету, и при этом Windows не будет активировать блокировку устройства. RssiMaxDelta имеет значение по умолчанию –10, которое предписывает Windows заблокировать устройство, как только сила сигнала ослабнет более чем на 10.

Измерения RSSI относительны и ниже по мере уменьшения сигналов Bluetooth между двумя парными устройствами. Значение 0 больше -10. Значение -10 больше ,чем -60, и указывает на то, что устройства движутся друг от друга дальше.

Конфигурация IP

Сигналы конфигурации IP определяются с помощью одного или нескольких элементов ipConfiguration. Каждый элемент имеет строковое значение. Элементы IpConfiguration не имеют атрибутов или вложенных элементов.

IPv4Prefix

Префикс сети IPv4, представленный в стандартной интернет-нотации с точками. Сетевой префикса, который использует нотацию CIDR, должен быть частью строки сетевого адреса. Сетевой порт не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4Prefix. Пример:

<ipv4Prefix>192.168.100.0/24</ipv4Prefix>

IPv4-адреса, назначенные в диапазоне 192.168.100.1–192.168.100.254, соответствуют этой конфигурации сигнала.

IPv4Gateway

Сетевой шлюз IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4Gateway. Пример:

<ipv4Gateway>192.168.100.10</ipv4Gateway>

IPv4DhcpServer

DHCP-сервер IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4DhcpServer. Пример:

<ipv4DhcpServer>192.168.100.10</ipv4DhcpServer>

IPv4DnsServer

DNS-сервер IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal элемент может содержать один или несколько элементов ipv4DnsServer.

Пример

<ipv4DnsServer>192.168.100.10</ipv4DnsServer>

IPv6Prefix

Префикс сети IPv6, представленный в сети IPv6 в стандартной шестнадцатеричной кодировке. Префикс сети в нотации CIDR является частью строки сетевого адреса. Сетевой порт или ИД области действия не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6Prefix. Пример:

<ipv6Prefix>21DA:D3::/48</ipv6Prefix>

IPv6Gateway

Сетевой шлюз IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6Gateway. Пример:

<ipv6Gateway>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6Gateway>

IPv6DhcpServer

DNS-сервер IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6DhcpServer. Пример:

<ipv6DhcpServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DhcpServer

IPv6DnsServer

DNS-сервер IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать один или несколько элементов ipv6DnsServer. Пример:

<ipv6DnsServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DnsServer>

dnsSuffix

Полное доменное имя внутреннего DNS-суффикса организации, в котором в основном DNS-суффиксе компьютера существует любая часть полного доменного имени в этом параметре. Элемент signal может содержать один или несколько элементов dnsSuffix. Пример:

<dnsSuffix>corp.contoso.com</dnsSuffix>

Wi-Fi

Вы определяете сигналы Wi-Fi с помощью одного или нескольких элементов Wi-Fi. Каждый элемент имеет строковое значение. Элементы Wifi не имеют атрибутов или вложенных элементов.

SSID

Содержит идентификатор набора служб (SSID) беспроводной сети. SSID — это имя беспроводной сети. Элемент SSID является обязательным. Пример:

<ssid>corpnetwifi</ssid>

BSSID

Содержит базовый идентификатор набора служб (BSSID) беспроводной точки доступа. BSSID — это mac-адрес беспроводной точки доступа. Элемент BSSID необязателен. Пример

<bssid>12-ab-34-ff-e5-46</bssid>

Безопасность

Содержит тип безопасности, который клиент использует при подключении к беспроводной сети. Элемент безопасности является обязательным и должен содержать одно из следующих значений:

Пример:

<security>WPA2-Enterprise</security>

TrustedRootCA

Содержит отпечаток доверенного корневого сертификата беспроводной сети. Можно использовать любой допустимый доверенный корневой сертификат. Значение представлено в виде шестнадцатеричной строки, где каждый байт в строке отделяется одним пробелом. Элемент является необязательным. Пример:

<trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>

Sig_quality

Содержит числовое значение в диапазоне от 0 до 100, которое представляет уровень сигнала беспроводной сети, который необходимо считать доверенным сигналом.

Пример:

<sig_quality>80</sig_quality>

Примеры конфигураций доверенного сигнала

Пример 1

В следующем примере настраивается тип сигнала IPConfig с помощью элементов Ipv4Prefix, Ipv4DnsServer и DnsSuffix .

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <ipv4Prefix>10.10.10.0/24</ipv4Prefix>
        <ipv4DnsServer>10.10.0.1</ipv4DnsServer>
        <ipv4DnsServer>10.10.0.2</ipv4DnsServer>
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>

Пример 2

В следующем примере настраивается тип сигнала IpConfig с помощью элемента dnsSuffix и сигнала Bluetooth для телефонов. В этом примере предполагается, что правило IpConfig или Bluetooth должно иметь значение true, чтобы итоговая оценка сигнала была истинной.

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>,
<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Пример 3

В следующем примере настраивается то же, что и в примере 2 с использованием составных and элементов. В этом примере предполагается, что ipConfig и правило Bluetooth должны иметь значение true, чтобы итоговая оценка сигнала была истинной.

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
   <dnsSuffix>corp.microsoft.com</dnsSuffix>
  </signal>
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</and>
</rule>

Пример 4

В следующем примере Wi-Fi настраивается в качестве доверенного сигнала.

<rule schemaVersion="1.0">
  <signal type="wifi">
    <ssid>contoso</ssid>
    <bssid>12-ab-34-ff-e5-46</bssid>
    <security>WPA2-Enterprise</security>
    <trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>
    <sig_quality>80</sig_quality>
  </signal>
</rule>

Настройка многофакторной разблокировки

Чтобы настроить многофакторную разблокировку, можно использовать:

• Microsoft Intune/CSP
• Групповая политика

Ниже приведены инструкции по настройке устройств. Выберите вариант, который лучше всего соответствует вашим потребностям.

Взаимодействие с пользователем

Вот краткое видео, показывающее взаимодействие с пользователем при включенной многофакторной разблокировке:

1. Пользователь сначала войдет в систему с помощью отпечатка пальца + bluetooth-сопряженного телефона
2. Затем пользователь входит в систему с отпечатком пальца и ПИН-кодом.

Устранение неполадок

Многофакторная разблокировка записывает события в журнал событий в разделе Журналы приложений и служб\Microsoft\Windows\HelloForBusiness с именем категории Device Unlock.

События