windows hello的PIN码是如何存储的

Question

你们，请问windows hello的PIN码存储在本地电脑的什么位置，是否能提供下PIN码具体的技术实现原理和windows的防暴力破解机制

我了解到PIN码似乎也存储在TPM中，请问具体的技术实现是否是这样的：用户输入PIN码，TPM将用户输入的PIN码加密成entropy后，用于访问TPM中的其他密钥，如果不能访问则失败。

我想知道PIN码如何存储在TPM中，以及PIN码访问TPM中密钥的细节！

Answer 1

你好。

Windows Hello for Business 的 PIN 确实涉及到 TPM 技术，用于保护用户的认证信息。PIN 码本身并不是直接存储在电脑上的；而是通过一个复杂的过程来确保安全性。

以下是大致技术实现原理：

PIN 到密钥的转换：当用户创建或输入他们的 PIN 时，它不会以明文形式存储。相反，PIN 被用来作为派生加密密钥的基础，这个过程通常使用密码学中的密钥导出函数（KDF），如 PBKDF2 或其他类似算法。

TPM 涉及：如果设备配备了兼容的 TPM 芯片，Windows Hello 可以利用 TPM 来安全地存储这些由 PIN 派生出来的密钥。TPM 是一个专门设计用来提供硬件级别的安全特性的芯片。

防暴力破解机制：Windows Hello 实现了多种策略来防止暴力破解攻击。例如，系统可能会限制连续错误尝试的次数，超过一定次数后会锁定账户一段时间。此外，由于 TPM 的存在，即使攻击者获得了物理访问权限，他们也很难提取出存储在 TPM 内的信息，因为 TPM 对于外部访问有严格的限制，并且可以在检测到异常行为时自我保护。

访问密钥：当用户输入 PIN 时，系统会再次运行相同的 KDF 函数，试图重现原始的加密密钥。如果生成的密钥能够成功解锁 TPM 中存储的相关信息（例如，用于解密磁盘或其他资源的密钥），那么认证就被认为是成功的。

Entropy 和密钥材料：关于您提到的 "entropy"，这通常指的是随机性或者不确定性。在密码学中，高熵意味着更高的安全性，因为它使得猜测或破解密钥变得更加困难。在 PIN 码验证过程中，可能涉及到增加额外的随机性来增强安全性和唯一性。

总结来说，PIN 码本身不直接存储在 TPM 中，而是通过 PIN 导出一个加密密钥，该密钥被用于解锁 TPM 中的安全信息。整个过程旨在确保即使有人获得了对计算机的物理访问权，他们也无法轻易获取或滥用用户的认证凭证。同时，Windows Hello 的设计还包括了一系列措施来抵御暴力破解和其他类型的攻击。

祝你愉快。

---

如果答案对您有帮助，请点击 “接受答案 ”并点赞。