Desbloqueio multifator

O Windows Hello para Empresas suporta a utilização de uma única credencial (PIN e biometria) para desbloquear um dispositivo. Portanto, se qualquer uma dessas credenciais for comprometida (shoulder surfing), um invasor pode obter acesso ao sistema.

O Windows Hello para Empresas pode ser configurado com o desbloqueio multifator ao expandir o Windows Hello com sinais fidedignos. Os administradores podem configurar dispositivos para pedir uma combinação de fatores e sinais fidedignos para desbloqueá-los.

O desbloqueio multifator é ideal para organizações que:

• Expressou que os PINs por si só não satisfazem as suas necessidades de segurança
• Quer impedir que os Técnicos de Informação partilhem credenciais
• Pretende que as suas organizações cumpram a política de autenticação de dois fatores regulamentar
• Pretende manter a experiência familiar do utilizador de início de sessão do Windows e não se contentar com uma solução personalizada

Como funciona

O primeiro fornecedor de credenciais do fator de desbloqueio e o fornecedor de credenciais de segundo desbloqueio são responsáveis pela maior parte da configuração. Cada um destes componentes contém um identificador exclusivo global (GUID) que representa um fornecedor de credenciais do Windows diferente. Com a definição de política ativada, os utilizadores desbloqueiam o dispositivo com, pelo menos, um fornecedor de credenciais de cada categoria antes de o Windows permitir que o utilizador avance para o ambiente de trabalho.

A configuração de política tem três componentes:

• Provedor de credenciais do primeiro fator de desbloqueio
• Provedor de credenciais do segundo fator de desbloqueio
• Regras de sinal para desbloqueio de dispositivo

Configurar fatores de desbloqueio

As partes Provedores de credenciais do primeiro fator de desbloqueio e Provedores de credenciais do segundo fator de desbloqueio da política de configuração contêm uma lista separada por vírgulas de provedores de credenciais.

Os provedores de credenciais com suporte incluem:

Os provedores de credenciais padrão para o Provedor de credenciais do primeiro fator de desbloqueio incluem:

• PIN
• Impressão digital
• Reconhecimento facial

Os provedores de credenciais padrão para o Provedor de credenciais do segundo fator de desbloqueio incluem:

• Sinal confiável
• PIN

Configure uma lista separada por vírgulas de GUIDs de provedor de credenciais que você deseja usar como o primeiro e o segundo fatores de desbloqueio. Embora um fornecedor de credenciais possa aparecer em ambas as listas, uma credencial suportada por esse fornecedor só pode satisfazer um dos fatores de desbloqueio. Os fornecedores de credenciais listados não precisam de estar numa ordem específica.

Por exemplo, se você incluir o PIN e os provedores de credenciais de impressão digital em ambas as listas de primeiro e segundo fator, um usuário poderá usar sua impressão digital ou PIN como o primeiro fator de desbloqueio. Qualquer fator que utilize para satisfazer o primeiro fator de desbloqueio não pode ser utilizado para satisfazer o segundo fator de desbloqueio. Cada fator pode, portanto, ser usado exatamente uma vez. O provedor de Sinal Confiável só pode ser especificado como parte da lista de provedores de credenciais de segundo fator de bloqueio.

Configurar regras de sinal para o provedor de credenciais de sinal confiável

A configuração Regras de sinal para desbloqueio de dispositivo contém as regras que o provedor de credenciais de sinal confiável usa para satisfazer o desbloqueio do dispositivo.

Elemento de regra

Você representa as regras de sinal no XML. Cada regra de sinal tem um elemento inicial e final rule que contém o atributo e o schemaVersion valor. A versão de esquema suportada atual é 1.0.

Exemplo

<rule schemaVersion="1.0">
</rule>

Elemento signal

Cada elemento de regra tem um signal elemento. Todos os elementos de sinal têm um type elemento e value. Os valores suportados são:

• bluetooth
• ipConfig
• wifi

Bluetooth

Define o sinal bluetooth com mais atributos no elemento de sinal. A configuração bluetooth não utiliza outros elementos. Pode terminar o elemento de sinal com a etiqueta />de fim curto .

Por exemplo:

<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

O atributo classofDevice é predefinido para Phone e utiliza os valores da seguinte tabela:

O valor de atributo rssiMin indica a intensidade de sinal necessária para o dispositivo ser considerado "no alcance". O valor padrão de -10 permite que um usuário se mova por um escritório de tamanho médio ou cubículo sem fazer com que o Windows bloqueie o dispositivo. O rssiMaxDelta tem um valor predefinido de -10, que instrui o Windows a bloquear o dispositivo assim que a força do sinal enfraquecer em mais do que a medição de 10.

As medições RSSI são relativas e inferiores à medida que os sinais bluetooth entre os dois dispositivos emparelhados reduzem. Uma medição de 0 é mais forte do que -10. Uma medição de -10 é mais forte do que -60 e indica que os dispositivos estão a afastar-se um do outro.

Configuração IP

Você define sinais de configuração de IP usando um ou mais elementos ipConfiguration. Cada elemento tem um valor de cadeia de caracteres. Os elementos IpConfiguration não têm atributos ou elementos aninhados.

IPv4Prefix

O prefixo de rede IPv4 representado em notação de ponto decimal padrão da Internet. Um prefixo de rede que usa a notação CIDR (Roteamento Entre Domínios Sem Classe) é necessário como parte da cadeia de caracteres de rede. Uma porta de rede não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv4Prefix. Por exemplo:

<ipv4Prefix>192.168.100.0/24</ipv4Prefix>

Os endereços IPv4 atribuídos no intervalo de 192.168.100.1 para 192.168.100.254 correspondem a essa configuração de sinal.

IPv4Gateway

O gateway de rede IPv4 representado em notação de ponto decimal padrão da Internet. Uma porta de rede ou prefixo não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv4Prefix. Por exemplo:

<ipv4Gateway>192.168.100.10</ipv4Gateway>

IPv4DhcpServer

O servidor DHCP IPv4 representado em notação de ponto decimal padrão da Internet. Uma porta de rede ou prefixo não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv4DhcpServer. Por exemplo:

<ipv4DhcpServer>192.168.100.10</ipv4DhcpServer>

IPv4DnsServer

O servidor DNS IPv4 representado em notação de ponto decimal padrão da Internet. Uma porta de rede ou um prefixo não deve estar presente na cadeia de caracteres de rede. O elemento signal pode conter um ou mais elementos ipv4DnsServer.

Exemplo:

<ipv4DnsServer>192.168.100.10</ipv4DnsServer>

IPv6Prefix

O prefixo de rede IPv6 representado na rede IPv6 usando a codificação hexadecimal padrão da Internet. Um prefixo de rede na notação CIDR é necessário como parte da cadeia de caracteres de rede. Uma porta de rede ou ID de escopo não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv6Prefix. Por exemplo:

<ipv6Prefix>21DA:D3::/48</ipv6Prefix>

IPv6Gateway

O gateway de rede IPv6 representado em codificação hexadecimal padrão da Internet. Uma ID de escopo IPv6 pode estar presente na cadeia de caracteres de rede. Uma porta de rede ou prefixo não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv6Gateway. Por exemplo:

<ipv6Gateway>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6Gateway>

IPv6DhcpServer

O servidor DNS IPv6 representado em codificação hexadecimal padrão da Internet. Uma ID de escopo IPv6 pode estar presente na cadeia de caracteres de rede. Uma porta de rede ou prefixo não deve estar presente na cadeia de caracteres de rede. Um elemento signal só pode conter um elemento ipv6DhcpServer. Por exemplo:

<ipv6DhcpServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DhcpServer

IPv6DnsServer

O servidor DNS IPv6 representado em codificação hexadecimal padrão da Internet. Uma ID de escopo IPv6 pode estar presente na cadeia de caracteres de rede. Uma porta de rede ou prefixo não deve estar presente na cadeia de caracteres de rede. O elemento signal só pode conter um ou mais elementos ipv6DnsServer. Por exemplo:

<ipv6DnsServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DnsServer>

dnsSuffix

O nome de domínio completamente qualificado do sufixo DNS interno da sua organização em que qualquer parte do nome de domínio completamente qualificado nesta definição existe no sufixo DNS principal do computador. O elemento signal só pode conter um ou mais elementos dnsSuffix. Por exemplo:

<dnsSuffix>corp.contoso.com</dnsSuffix>

Wi-Fi

Define Wi-Fi sinais através de um ou mais elementos wi-fi. Cada elemento tem um valor de cadeia de caracteres. Os elementos wi-fi não têm atributos ou elementos aninhados.

SSID

Contém o identificador do conjunto de serviços (SSID) de uma rede sem fios. O SSID é o nome da rede sem fios. O elemento SSID é necessário. Por exemplo:

<ssid>corpnetwifi</ssid>

BSSID

Contém o identificador do conjunto de serviços básico (BSSID) de um ponto de acesso sem fios. O BSSID é o endereço mac do ponto de acesso sem fios. O elemento BSSID é opcional. Por exemplo:

<bssid>12-ab-34-ff-e5-46</bssid>

Segurança

Contém o tipo de segurança que o cliente utiliza ao ligar à rede sem fios. O elemento de segurança é necessário e tem de conter um dos seguintes valores:

Por exemplo:

<security>WPA2-Enterprise</security>

TrustedRootCA

Contém o thumbprint do certificado de raiz fidedigna da rede sem fios. Pode utilizar qualquer certificado de raiz fidedigna válido. O valor é representado como cadeia hexadecimal, em que cada byte na cadeia é separado por um único espaço. O elemento é opcional. Por exemplo:

<trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>

Sig_quality

Contém um valor numérico entre 0 e 100 para representar a força de sinal da rede sem fios necessária para ser considerado um sinal fidedigno.

Por exemplo:

<sig_quality>80</sig_quality>

Configurações de Sinal Fidedigno de Exemplo

Exemplo 1

O exemplo seguinte configura um tipo de sinal IPConfig com elementos Ipv4Prefix, Ipv4DnsServer e DnsSuffix .

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <ipv4Prefix>10.10.10.0/24</ipv4Prefix>
        <ipv4DnsServer>10.10.0.1</ipv4DnsServer>
        <ipv4DnsServer>10.10.0.2</ipv4DnsServer>
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>

Exemplo 2

O exemplo seguinte configura um tipo de sinal IpConfig com um elemento dnsSuffix e um sinal bluetooth para telemóveis. O exemplo implica que a regra IpConfig ou Bluetooth tem de ser avaliada como verdadeira, para que a avaliação do sinal resultante seja verdadeira.

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>,
<rule schemaVersion="1.0">
    <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Exemplo 3

O exemplo seguinte configura o mesmo que o exemplo 2 com elementos compostos and . O exemplo implica que o IpConfig e a regra bluetooth têm de ser avaliados como verdadeiros, para que a avaliação do sinal resultante seja verdadeira.

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
   <dnsSuffix>corp.microsoft.com</dnsSuffix>
  </signal>
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</and>
</rule>

Exemplo 4

O exemplo seguinte configura o Wi-Fi como um sinal fidedigno.

<rule schemaVersion="1.0">
  <signal type="wifi">
    <ssid>contoso</ssid>
    <bssid>12-ab-34-ff-e5-46</bssid>
    <security>WPA2-Enterprise</security>
    <trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>
    <sig_quality>80</sig_quality>
  </signal>
</rule>

Configurar o desbloqueio multifator

Para configurar o desbloqueio multifator, pode utilizar:

• Microsoft Intune/CSP
• Política de grupo

As instruções seguintes fornecem detalhes sobre como configurar os seus dispositivos. Selecione a opção mais adequada às suas necessidades.

Experiência do usuário

Eis um breve vídeo que mostra a experiência do utilizador quando o desbloqueio multifator está ativado:

1. O utilizador inicia sessão pela primeira vez com impressão digital + Telemóvel emparelhado com Bluetooth
2. Em seguida, o utilizador inicia sessão com impressão digital + PIN

Solução de problemas

O desbloqueio multifator escreve eventos no registo de eventos em Registos de Aplicações e Serviços\Microsoft\Windows\HelloForBusiness com o nome de categoria Desbloqueio do Dispositivo.

Eventos