PIN 为何 优于 密码 (Windows 10)

• 23/10/2017

• • m

本文 内容

适用 范围

• Windows 10

WindowsWindows 10 Hello 的 Hello 使 用户 能够 使用 PIN 登录 其 设备。 PIN 在 哪 方面 不同于 （优于） 密码？ 表面 上看 ， PIN 看起来 很像 密码。 PIN 可以 是 一 组 数字 ， 但 企业 策略 可能 允许 包括特殊 字符 和 字母 （大小写 均可） 的 复杂 PIN。 类似于t758A!的 内容 可以 是 帐户 密码 ， 或者 是 复杂 的 Hello PIN。 使 PIN 优于 密码 的 不是 它 的 结构 （长度 、 复杂 性） ， 而是 它 的 工作 原理。

观看 Dana 为 Hello Windows PIN 比 密码 更 安全 的 原因 进行 说明。

PIN 绑定 到 设备

PIN 和 Hello PIN 之间 的 一个 重要 区别 在于 ， PIN 会 绑定 到 设置 它 的 特定 设备 上。 如果 没有 该 特定 硬件 ， 此 PIN 对 任何 人 都 无用。 盗取 密码 的 人 可以 在 任何 地方 登录 你 的帐户 ， 但是 如果 盗取 PIN ， 他们 还 必须 盗取 你 的 物理 设备！

即使 你 本人 也 无法 在 除 该 特定 设备 之外 的 任何 地方 使用 该 PIN。 如果 你 希望 在 多 设备 上 登录 ， 则 必须 在 每台 设备 上 设置 Hello。

PIN 是 设备 的 本地 凭据

密码密码经过传输。截获。。。。。。。。截获。。。。提供 者 建立 受 信任 的 关系 ， 并且 创建 用于 身份 验证 的 非 对称 密钥 对。 当 你 输入 PIN 时 ， 它 会 解锁 身份 验证 密钥 ， 并 使用 此 密钥 对 发送 到 身份 验证 的 的 请求 进行 签名。

PIN 受 硬件 支持

Hello PIN 由 受 信任 的 平台 模块 (TPM) 芯片 支持 ， 该 芯片 是 为 执行 加密 操作 而 设计 的 安全 加密 处理器。 该 芯片 包含 多个 物理 安全 以 使其 防 篡改 ， 并且 恶意 软件 无法 篡改 TPM 的安全 功能。 所有 Windows 10 移动 版 手机 和 许多 现代 笔记本 电脑 都有 TPM。

用户 密钥 材料 在 用户 设备 的 受 信任 的 平台 模块 (TPM) 内 生成 和 提供 ， 从而 可以 保护 密钥 材料 想要 捕获 和 重复 使用 它 的 攻击 者 的 攻击。 由于 Hello 使用 非 对称 密钥 对， 因此 在 用户 访问 的 标识 提供 程序 或 网站 受到 威胁 的 情况 下 ， 用户 凭据 无法 被盗。

TPM 可 抵御 各种 已知 和 潜在 的 攻击 ， 包括 PIN 暴力 攻击。 过多 的 错误 猜测 将 导致 设备 锁定。

PIN 可以 很 复杂

Windows Hello 企业 版 PIN 与 密码 一样 遵守 相同 的 IT 管理 策略 组 ， 例如 性 、 长度 、 到期 时间 和 历史 记录。 尽管 通常 认为 认为 PIN 是 简单 的 四位数 代码 ， 但 管理员 可以 设置 托管 设备 的策略 以 要求 PIN 的 复杂 性 与 密码 类似。 你 可以 要求 或 阻止 ： 特殊 字符 、 大写 字母 、 小写 字母 和 数字。

如果 有人 盗取 笔记本 电脑 或 手机 将会 怎样？

Hello 泄露 TPM 的 的 Windows Hello 凭据 ， 攻击 者 必须 有权 访问 物理 设备 ， 然后 找到 一种 一种 用户 生物 识别 或 猜测 其 PIN 的 方法 ， 所有 这些 操作 都 必须 在 TPM 反 攻击 保护 锁定 设备 之前 完成。你 可以 通过 启用 BitLocker 并 设置 限制 失败 登录 的 策略 来 为 不 带有 TPM 的 笔记本 电脑 提供 额外 保护。

配置 未 带有 TPM 的 BitLocker

1. 使用 本地 组 策略 编辑 器 (gpedit.msc) 启用 以下 策略 ：

   „计算机 配置”> „管理 模板”> „Windows 组件”> „BitLocker 驱动 器 加密”> „操作系统 驱动 器”> „启动 时 需要 附加 身份 验证”

2. 在 策略 选项 中 ， 选择没有 兼容 的 TPM 时 允许 BitLocker， 然后单击 确定。

3. 依次 转到 „控制 面板”> „系统 和 安全”> „BitLocker 驱动 器 加密”， 然后 选择 要 保护 的 操作系统 驱动 器。设置 帐户 锁定 阈 值

4. 使用 本地 组 策略 编辑 器 (gpedit.msc) 启用 以下 策略 ：

   „计算机 配置”> „Windows 设置”> „安全 设置”> „帐户 策略”> „帐户 锁定 策略”> „帐户 锁定 阈 值”

5. 设置 无效 登录 尝试 的 允许 次数 ， 然后 单击 „确定”。

为什么 需要 PIN 才能 使用 生物 识别？

Windows Hello 支持 Windows 10 生物 识别 登录 ： 指纹 、 虹膜 或 面部 识别。 在 Hello Windows Hello 时 ， 会 要求 你 首先 创建 PIN。 此 PIN 使 你 能够 在 由于 原因 或 不可 用 或 无法 正常 工作 无法 使用 使用 首选 生物 识别时 ， 使用 PIN 登录。

如果 你 仅 配置 了 生物 识别 登录 ， 并且 出于 任何 原因 无法 该 方法 登录 ， 则 必须 使用 帐户 和 密码 登录 ， 但这 不会 提供 与 Hello 相同 级别 的 保护。

相关 主题

• Windows Hello 企业 版
• Windows Hello 企业 版 的 工作 原理
• 在 组织 中 管理 Windows Hello 企业 版
• Hello 用户 准备 好 使用 Windows Hello
• Windows Hello 和 密码 更改
• PIN 创建 期间 的 Windows Hello 错误
• 事件 ID 300 – Windows Hello 成功 创建
• Hello 中 的 Windows Hello 生物 识别