なぜ二要素認証が必要なのか？ ログイン認証. All rights reserved.Windows Helloとは、指紋や顔、虹彩などの個人を特定可能な生体情報を使用して認証を行う機能です。この生体認証を利用したサインインですが、単純にインカメラがついていれば利用できるというものではありません。Hello 対応のデバイス (センサー) が搭載されていないと利用はできません。また、Windows Helloはドメイン環境の場合、既定で利用できません。(1607以降) Windows Helloを利用する為には、グループポリシーにて以下設定を有効化する必要があります。※多要素のロック解除では、サード パーティ製の資格情報プロバイダーや、上記の表に示されていない資格情報プロバイダーはサポートされません。今回の記事は、Windows 10 1709から実装された Windows Helloを使用した多要素認証によるロック解除についての内容です。この制御は、グループポリシー管理用テンプレートもしくは、RSATを使用して構成していきます。以下ポリシーを有効化します。設定名は Windows Hello for Business ですが、通常の Windows Hello (WorkGroup, ドメイン環境) でも動作し、設定後は再起動などは不要で、[スタート] + L の画面ロックをすることですぐに設定した内容での動作を確認できます。このポリシー設定を有効にすると、ユーザーは各一覧から 1 要素を使用しないとロックを解除できません。グループポリシー管理用テンプレート 1803をドメインのセントラルストアに展開します。（本記事内の作業を行う前に、事前にドメインのセントラルストアに以下テンプレートを配置してください。この管理用テンプレートは本記事執筆時点での最新の管理用テンプレートです。）PIN {D6886603-9D2F-4EB2-B667-1971041FA96B}指紋 {BEC09223-B018-416D-A0AC-523971B639F5}第 2 のロック解除要素の資格情報プロバイダーの既定の資格情報プロバイダー※ユーザーが必要な要素を持っていない場合は、デバイスをロック解除することができないようにするために、サード パーティ製の資格情報プロバイダーをすべて削除する必要があります。 フォールバック オプションとしてパスワードまたはスマート カードを使用できます (どちらも必要に応じて無効にすることができます)。※信頼された信号は、別の資格情報プロバイダーと組み合わせる必要があります。第 1 のロック解除要素の資格情報プロバイダーの既定の資格情報プロバイダーProfile: 都内のSIer勤務のインフラエンジニアです。普段はMicrosoft 365系のお仕事をしています。 ※本WEB SITEに記述している全ての内容は個人の主張であり、所属組織の見解や方針とは関係がありません。本サイトと所属組織とは無関係です。現在、Windows は、デバイスのロックを解除する際、1 つの資格情報 (パスワード、PIN、指紋、顔など) の使用のみをサポートしています。 そのため、それらのいずれかの資格情報が侵害 (のぞき見) された場合、攻撃者はシステムにアクセスできます。Windows 10 では、Windows Hello を拡張することにより、多要素のデバイスのロック解除を提供します。管理者は、デバイスのロックを解除するために、要素と信頼された信号の組み合わせを要求するように Windows 10 を構成できます。顔認識 {8AF662BF-65A0-4D0A-A540-A338A999D36F}5. であれば、人の記 PINを設定し、[OK]を入力する事で、PINの設定は完了です。注意: この機能を使用した場合、ユーザーのドメイン パスワードはシステム資格情報コンテナーにキャッシュされます。※ここで設定をする第一と第二の資格情報プロバイダーの順番に、関係はあまりありません。どちらの認証から開始しても、大丈夫です。※同じロック解除要素を使用して、両方のカテゴリを満たすことはできません。 そのため、両方のカテゴリにいずれかの資格情報プロバイダーを含める場合、いずれかのカテゴリを満たすために使用できますが、両方のカテゴリを満たすことはできません。1.顔認証でのサインインを構成している場合、以下のように [ユーザーを探しています] と表示され、Windows Helloの顔認証が実行されます。7. 2.
Windows 10はセキュリティキー不要の2段階認証機能搭載に Microsoftは、次期OS「Windows 10」に2段階認証機能を搭載すると発表した。 2 段階認証を使うことで、使用している Microsoft アカウントに他のユーザーがサインインしにくくなり、セキュリティを強化できます。2 段階認証では、パスワードと任意の連絡方法 (セキュリティ情報とも呼ばれます) の 2 種類の認証方法が使用されます。第三者にパスワードが漏れた場合でも、第三者がお客様のセキュリティ情報にアクセスできない場合、お客様の情報を侵害することはできません。これは、アカウントごとに異なるパスワードを使用することが重要な理由でもあります。アカウントに追加したセキュリティ情報に応じて、認証アプリからセキュリティ コードを入力したり、バックアップ メール アカウントに送信されたセキュリティ コードを入力したりする必要があります。このアカウントのセットアップの一環として、デバイスでスキャンするための QR コードが提供されます。これは、Authenticator アプリをインストールしようとしているデバイスを物理的に所有していることを確認する 1 つの方法です。アカウントで 2 段階認証が有効になっているときにパスワードを忘れた場合、2 つの連絡方法があればパスワードをリセットできます (2 段階認証を有効にしたときに使用した代替の連絡先メール アドレスまたは電話番号のいずれかなど)。一部のアプリ (スマートフォン用メール アプリなど) やデバイス (Xbox 360 など) では、通常のセキュリティ コードを使うことはできません。2 段階認証を有効にした後に、パスワードが正しいにもかかわらず、アプリやデバイスで "無効なパスワード" のエラーが表示される場合は、そのアプリまたはデバイスのアプリ パスワードが必要です。 認証方法を2種類以上組み合わせたもの. と言えば、ログイン. 次に例として顔情報で認証可能なようにHelloをセットアップしていきます。設定アプリから、[アカウント] – [サインインオプション] – [Windows Hello] – [顔認証] -[セットアップ]を選択します。※PIN は少なくとも 1 つのグループに含まれている必要があります。Windows Hello 多要素のロック解除は、アプリケーションとサービス ログ\Microsoft\Windows\HelloForBusiness の下のイベント ログに、Device Unlock (デバイスのロック解除) というカテゴリ名でイベントを書き込みます。もし認証が成功しない場合には、このログを確認してみるとよいでしょう。このポリシー設定では、ドメイン ユーザーが便利な PIN を使ってサインインできるかどうかを制御できます。このポリシー設定を有効にした場合、ドメイン ユーザーは便利な PIN を設定し、これを使ってサインインできるようになります。このポリシー設定を無効にした場合、または構成しなかった場合、ドメイン ユーザーは便利な PIN を設定および使用できません。 指示に従って、Helloをセットアップします。(以下の人物のシルエット部分にあなたの顔が表示されます。）セットアップが正常に完了したら、Helloを使用した生体認証でのサインインを実行可能です。続いて多要素認証のセットアップを開始します。例えば、「PIN/顔」＋「PIN/指紋」と設定した際に、指紋認証に 3 回間違えてロックがかかり、PIN にて解除した場合には、PIN にて認証したことになりますので、「顔」もしくは「指紋」にて追加の要素で認証する必要がありますが、「指紋」はロックがかかっているため、「顔」を使用して認証する必要があります。RSATをWindows10 (1709以降) にインストールします。RSATを使用して、WIndows10を実行しているPCからグループポリシーを構成します。©2019 Tech Life. 2 段階認証とは何か、2 段階認証をセットアップして Microsoft アカウントの安全性を高めるために使用するにはどうすればよいかについて、基本的な質問への回答を紹介します。 ここからが本題です。 前向までで説明してきたことをまず軽くまとめますと、 リモートデスクトップセキュリティは2つの方法で高めることができます。 3. idとパスワードの組み合わせ利 用が一般的ですが、人の記憶で扱う情報な為、使い易い反面、最も 漏えいしやすい情報です。しかし、 二要素認証. 今回の記事は、Windows 10 1709から実装された Windows Helloを使用した多要素認証によるロック解除についての内容です。この制御は、グループポリシー管理用テンプレートもしくは、RSATを使用して構成していきます。 リモートデスクトップのセキュリティを極限まで高める1つの方法がある! Windows Helloへようこそ画面で[開始する]を選択します。以下は、本機能を使用した場合の制限事項です。詳細は引用元の本ページ下部に記載のMicrosoft サポートチームのブログを参照してください、Windows Helloを設定する場合、同時にPINを設定する必要があるとお伝えしましたが、このPINの認証で実際には顔認証がなくてもサインイン可能な状態になります。PINはパスワードと異なり、デバイス内にのみ保存されます。つまり、他のデバイスで同じPINを使用してサインインをする事はできません。しかし、あまりにも単純なPINを構成した場合にも安全性は高いのか、ソーシャル・エンジニアリングの観点からは個人的に少し疑問です。なので、今回はWindows Helloに対して、PINだけでのサインインを不可能なように構成する為、多要素認証を構成していきます。このセットアップが完了すると、ユーザーは指定したいずれかの(顔認証+PINなど）方法を組み合わせた情報でサインイン可能になります。4. 多要素認証とは、システムへのログイン時に複数の要素によって本人確認を行うことです。以下の3つのうち2つ以上の要素で認証を行います。 ・知識情報 ・所持情 …