Ibland dras Hello med ett oförtjänt dåligt rykte kring säkerheten i Windows. Från och till tycker jag mig notera en misstänksamhet som jag här och nu vill klargöra är missvisande. Att aktivera Hello i Windows sänker inte säkerheten, här tänker jag försöka förklara varför.
Grundtanken med Hello i Windows är att flytta autentiseringen av din identitet från centrala komponenter i nätverket ut till din enhet där du kör Windows genom att ta bort behovet av att slå in ett lösenord som ska verifieras i nätverkets Active Directory kontrollanter. Till detta har Microsoft kopplat ett antal mekanismer för att låta dig verifiera din identitet – i nuläget stöds PIN-kod, fingeravtryck och ansiktsigenkänning. För att fullt ut förstå varför det är säkrare ska jag förklara vad som händer i de olika scenariona.
Klassisk inloggning med användarnamn och lösenord
När du har angett ditt användarnamn och lösenord så kommer klienten, troligen din PC-dator i det här fallet, att verifiera det användarnamn och lösenord som du angett mot en av de AD-kontrollanter som finns tillgängliga i nätverket. I grundläget tar AD-kontrollanterna egentligen ingen hänsyn till varifrån begäran kommer, grundläget är att verifiera så att login och lösenord stämmer överens med databasen. Lösenord är att betrakta som en symmetrisk nyckel.
Det är just detta förfarande som är en av grundanledningarna till att ens Phishing finns till som fenomen – att lura sig till ditt användarnamn och lösenord är en fantastiskt bra väg till information och därmed potentiell rikedom. I dagens hopkopplade IT-värld där många organisationer använder t. ex. Microsoft 365 och andra federerade molntjänster är tillgången till användarnamn och lösenord en viktig pusselbit i den cyberkriminelles arbete.
Inloggning med Windows Hello, i grundkonfiguration
Som lägst kan Hello aktiveras genom att låta användare skapa en uppsättning lokala inloggningsuppgifter där fingeravtryck är en typisk sådan. Det som är viktigt att komma ihåg är att fingeravtryck, PIN-kod och ansikte i Windows Hello sparas (krypterad med hjälp av TPM-modulen) i den lokala enheten och finns inte över huvud taget sparat på annan plats i nätverket vilket är det största skälet till den höjda säkerheten. Med andra ord, en angripare har i det läget ingen nytta av att känna till ditt användarnamn och lösenord eftersom inloggning verifieras mot uppgifter sparade lokalt på din enhet.
Naturligtvis är det så att om en angripare har tillgång till enheten så kan Windows Hello tvärtemot avsikten faktiskt minsta säkerhetsnivån. Exempelvis har de flesta i sina AD:n implementerat lösenordspolicy så att ett lösenord ska ha en viss längd och möta en viss komplexitet. I Windows Hello finns implementerat en relativt simpel algoritm för att hindra ”enkla PIN-koder” som går ut på att Hello inte tillåter en kod med konstanta deltan mellan siffrorna. Med andra ord kommer inte ’1234’ (delta 1,1,1), ’5678’ (delta 1,1,1), ’1111’ (delta 0,0,0), ’2222’ (delta 0,0,0) osv. att godkännas.
Stärkt inloggning med Windows Hello
Hello har stöd för utökad multifaktorkontroll i inloggningsförfarandet genom att t. ex. verifiera så att enheten finns på ett betrott nätverk eller att t. ex. en mobiltelefon med Bluetooth (Trusted Signal Unlock) finns tillgänglig. I det läget blir PIN-kod, fingeravtryck eller ansiktsigenkänning bara den första inloggningsfaktorn och vid avsaknad av sådan kan krävas även lösenord. Eller redan från start kräva en kombination av biometri och PIN-kod. Swipe’a först fingret – slå därefter in PIN-kod. Med en sådan setup blir inloggningen extremt mycket mer säker än med användarnamn och lösenord.
För att summera
Windows Hello är bara en av alla de teknologier som kan användas i det ädlaste av syften: Att eliminera lösenord. Ärligt talat är just lösenord en säkerhetsbrist som nittiotalet har ringt upprepade gånger och velat ha tillbaka, men vi har likafullt vägrat ge upp dem. Bara tanken på att det ska krävas ett användarnamn (som oftast är lika med din välkända e-postadress) och ett lösenord som inte bara kan gissas utan även knäckas för att komma åt känslig information är hårresande.
Personligen förespråkar jag att alla organisationer ska göra allt man kan för att eliminera behov av klassiska lösenord – Windows Hello är bara ett verktyg av många, men det fina är att det redan finns tillgängligt i moderna Windows för företag och organisationer. Trots allt skyddar det en av de nycklar som är viktigast av allt att skydda: Identiteten.
