Безопасность Windows 10: Отказ от паролей в May 2020 Update

Следующее обновление функций Windows 10 May 2020 Update, которое ожидается в период с 26 по 28 мая, будет поставляться с большим количеством улучшений — от функции «Загрузка из облака» для переустановки системы, оптимизации производительности, новой подсистемы Windows для Linux (WSL 2) – до улучшений Bluetooth-соединений и поиска Windows.

Кроме того, Microsoft внесет изменения в ряд параметров безопасности – в том числе «Защита на основе репутации» и блокировка ПНП, а также компания предложит пользователям заменить пароли на ПИН-коды. Если ознакомиться с информацией по сборке Insider Preview build 18936, то становится ясно, что Microsoft продолжает следовать своей идеологии полного отказа от паролей.

Замена паролей на ПИН-коды

В заметках к релизу к сборке Windows 10 20H1 build 18936 содержится информация о том, как Редмонд предлагает входить в учетные записи Microsoft без паролей. Эта необязательная опция доступна в меню «Параметры > Учетные записи > Варианты входа». Опция получила название «Требовать выполнение входа с помощью Windows Hello для учетных записей Майкрософт» (первоначально «Настроить работу устройства без пароля»), и, по мнению Microsoft, она обеспечивает более безопасный вход в систему.

В документации сообщается, как компания собирается отказаться от паролей:

Данная опция упростит процедуру аутентификации, переключив все учетные записи Microsoft на вашем устройстве на современную многофакторную аутентификацию Windows Hello с использованием распознавания лица, отпечатка пальца или ПИН-кода.

Опция использования входа Windows Hello для учетных записей Microsoft будет рекомендуемым вариантом.

В Windows 10 build 18995 (20H1) было представлено еще одно улучшение. Microsoft добавила поддержку ПИН-кода Windows Hello для входа в систему в безопасном режиме.

ПИН-код безопаснее, чем пароль?

У обычного пользователя могут возникать сомнения: как ПИН-код может быть более безопасным, чем пароль? Ответ тут заключается в контексте использования. Конечно, в общем смысле, 4-х значный ПИН-код по определению не может быть более безопасным, чем сложный пароль, состоящий из 25 символов.

Однако, ПИН-код привязан к конкретному устройству, на котором он был установлен. ПИН-код бесполезен для всех, кто не владеет этим конкретным устройством. Другими словами, ПИН-код выступает в роли второго фактора, тогда как первый фактор — это физический доступ к самому устройству Windows 10.

Если кто-то скомпрометирует пароль от вашего аккаунта Microsoft, он не сможет авторизоваться на компьютере из любой точки мира. Даже если злоумышленник сможет угадать или украсть ПИН-код, ему все-равно понадобится физический доступ к самому устройству. Сам ПИН-код никогда не передается на сервер и хранится на локальной машине, поэтому его нельзя перехватить или украсть со взломанного удаленного сервера. Таким образом, ПИН-код скорее делает ваше устройство более безопасным, чем защищает учетную запись Microsoft, хотя это взаимосвязано.

Смелый шаг в правильном направлении

Директор по информационной безопасности из компании Cyjax (технологическая компания-поставщик услуг по анализу цифровых угроз для международных корпораций) Ян Торнтон-Трамп (Ian Thornton-Trump) сообщил:

На мой взгляд, идея разделения аутентификации физического доступа и аутентификации доступа к сети является действительно хорошей идеей.

Это отличный способ уменьшить вектор удаленной атаки. Посмотрим, как исследователи примут новую функцию, но я думаю, что это смелый шаг в правильном направлении.