Perché un PIN è migliore di una password online

Windows Hello consente agli utenti di accedere al dispositivo usando un PIN. In che modo un PIN è diverso da (e migliore di) una password locale? In apparenza, un PIN è molto simile a una password. Un PIN può essere composto da un set di numeri, ma i criteri aziendali potrebbero richiedere PIN complessi che includono caratteri speciali e lettere, sia maiuscole che minuscole. Qualcosa come t758A! potrebbe essere una password dell'account o un PIN Hello complesso. Non è la struttura di un PIN (lunghezza, complessità) che lo rende migliore di una password online, è il suo funzionamento. Prima di tutto è necessario distinguere tra due tipi di password: local le password vengono convalidate rispetto all'archivio password del computer, mentre online le password vengono convalidate in un server. Questo articolo illustra principalmente i vantaggi offerti da un PIN rispetto a una password online e anche il motivo per cui può essere considerato ancora migliore rispetto a una password locale.

Guarda Dana Huang spiegare perché un PIN di Windows Hello for Business è più sicuro di una password online.

Il PIN è associato al dispositivo

Una differenza importante tra una password online e un PIN Hello è che il PIN è associato al dispositivo specifico in cui è stato configurato. Quel PIN sarà inutilizzabile senza quell'hardware specifico. Qualcuno che ruba la tua password online può accedere al tuo account da qualsiasi luogo, ma se ruba il PIN, dovrà rubare anche il tuo dispositivo fisico!

Persino tu non puoi usare quel PIN su qualsiasi dispositivo, ma solo su quel determinato dispositivo. Se vuoi accedere su più dispositivi, devi configurare Hello su ogni dispositivo.

Il PIN è configurato in locale sul dispositivo

Una password online viene trasmessa al server, che può essere intercettata durante la trasmissione o rubata da un server. Un PIN è configurato in locale sul dispositivo: non viene trasmesse e non è memorizzato sul server. Al momento della creazione, il PIN stabilisce una relazione attendibile con il provider identità e crea una coppia di chiavi asimmetriche che vengono usate per l'autenticazione. Quando viene inserito, il PIN sblocca la chiave di autenticazione e la usa per firmare la richiesta che viene inviata al server di autenticazione. Tuttavia, si noti che anche se le password locali sono anche locali per il dispositivo, sono ancora meno sicure di un PIN, come descritto nella sezione successiva.

Nota

Per Per ulteriori informazioni su come Hello utilizza coppie di chiavi asimmetriche per l'autenticazione, consultare Windows Hello for Business.  

Il PIN è abbinato all'hardware

Il PIN Hello è abbinato a un chip TPM (Trusted Platform Module) che è un cryptoprocessor sicuro progettato per eseguire operazioni di crittografia. Il chip include più meccanismi di sicurezza fisica in grado di proteggerlo da manomissioni; il software dannoso non sarà pertanto in grado di manomettere le funzioni di sicurezza del TPM. Molti dispositivi moderni hanno il TPM. Windows 10, d'altra parte, presenta un difetto di non collegare le password locali al TPM. Questo è il motivo per cui i PIN sono considerati più sicuri delle password locali.

Il materiale della chiave utente viene generato ed è disponibile nel TPM (Trusted Platform Module) del dispositivo utente, che lo protegge dagli autori di attacchi che vogliono acquisire il materiale della chiave e riutilizzarlo. Poiché Hello usa coppie di chiavi asimmetriche, le credenziali degli utenti non possono essere rubate nei casi in cui il provider di identità o i siti Web a cui l'utente accede sono stati compromessi.

Il TPM protegge da un'ampia gamma di attacchi noti e potenziali, inclusi gli attacchi di forza bruta per i PIN. Dopo un certo numero di tentativi non validi, il dispositivo viene bloccato.

Il PIN può essere complesso

Il PIN di Windows Hello for Business è soggetto agli stessi criteri di gestione IT di una password, come ad esempio complessità, lunghezza, scadenza e cronologia. In genere quando si pensa a un PIN, si pensa a un codice di quattro cifre, ma gli amministratori possono impostare un set di criteri per i dispositivi gestiti in modo da richiedere una complessità per il PIN simile a quella per una password. Puoi consentire o non consentire caratteri speciali, lettere maiuscole, lettere minuscole e numeri.

Cosa succede se qualcuno ruba il laptop o il telefono?

Per compromettere un Windows Hello credenziali protette da TPM, un utente malintenzionato deve avere accesso al dispositivo fisico e quindi trovare un modo per falsificare la biometria dell'utente o indovinare il PIN e tutto questo deve essere fatto prima che la protezione anti-martellamento TPM blocchi il dispositivo. Puoi aumentare la protezione per i laptop che non hanno TPM abilitando BitLocker e impostando un criterio per limitare i tentativi di accesso non validi.

Configurare BitLocker senza TPM

  1. Usa l'Editor Criteri di gruppo locali (gpedit.msc) per abilitare il seguente criterio:

    Configurazione > computer Modelli > amministrativi Componenti > di Windows BitLocker Crittografia > unità Unità Unità > del sistema operativo Richiedere l'autenticazione aggiuntiva all'avvio

  2. Nell'opzione criterio seleziona Consenti BitLocker senza un TPM compatibile e fai clic su OK.

  3. Passare a Pannello di controllo >Crittografia unità BitLocker di sistema e sicurezza > e selezionare l'unità del sistema operativo da proteggere.

Impostare la soglia di blocchi dell'account

  1. Usa l'Editor Criteri di gruppo locali (gpedit.msc) per abilitare il seguente criterio:

    Configurazione > computer Impostazioni di Windows Impostazioni >> di sicurezza Criteri > account Soglia di blocco account >

  2. Imposta il numero di tentativi di accesso non validi quindi fai clic su OK.

Perché è necessario un PIN per usare la biometria?

Windows Hello consente l'accesso biometrico in Windows 10: riconoscimento facciale, delle impronte digitali o dell'iride. Quando configuri Windows Hello, devi prima creare un PIN. Questo PIN consente di accedere usando il PIN quando non è possibile usare la biometria preferita a causa di un infortunio o perché il sensore non è disponibile o non funziona correttamente.

Se si configura solo l'accesso biometrico e, per qualche motivo, non è possibile usare quel metodo per accedere, occorre accedere usando il nome utente e la password e non si disporrà dello stesso livello di protezione garantito da Hello.