ฉันได้ทำการวิจัยแล้ว และ PIN ของ Windows Hello ที่เรียบง่ายนั้นปลอดภัยกว่ารหัสผ่านจริง ๆ

ในช่วงเวลาหนึ่งของการใช้งาน Windows เริ่มขอให้คุณตั้งค่า PIN และผู้คนก็ทำตามโดยไม่คิดมาก โดยสมมติว่ามันเป็นความพยายามของ Microsoft ที่ต้องการทำให้ชีวิตง่ายขึ้นทั้งสำหรับตัวเองและเราด้วย ซึ่งถ้าจะพูดตามตรง มันฟังดูเหมาะสมดี ตัวเลขสี่หลักแทนรหัสผ่านยาว 14 ตัวอักษรที่มีสัญลักษณ์และตัวอักษรพิมพ์ใหญ่ เป็นประเภทของ 'การอัปเกรด' ที่ส่วนใหญ่เอื้อประโยชน์ต่อคนที่รำคาญกับการพิมพ์

อย่างไรก็ตาม ฉันไม่เคยเชื่อมันเต็มที่ มีอะไรบางอย่างเกี่ยวกับมันที่รู้สึกผ่อนคลายเกินไป ดังนั้นฉันจึงหาข้อมูลดูและพบว่าคำอธิบายไม่ได้ซับซ้อน

รหัส PIN ของ Windows Hello ของคุณจะไม่ออกจากอุปกรณ์ของคุณ

ไม่เหมือนรหัสผ่านของคุณ ซึ่งถูกใช้มาอย่างยาวนาน

คำว่า "PIN" มีหลายความหมายและเรื่องราว ผู้คนส่วนใหญ่เมื่อได้ยินมันจะนึกถึงตัวเลขสี่หลักที่กรอกในเครื่องเอทีเอ็ม ซึ่งใครที่ไม่ตั้งใจสามารถจำได้ในสองวินาที ดังนั้นเมื่อไมโครซอฟท์บอกว่า PIN อาจปลอดภัยกว่ารหัสผ่าน สัญชาตญาณก็คือว่าจะยกคิ้วขึ้น มันฟังดูสมเหตุสมผล ปัญหาคือการตอบสนองนี้อิงตามการเปรียบเทียบที่ผิด

รหัสผ่านแบบดั้งเดิม ไม่ว่าจะสำหรับบัญชี Microsoft ของคุณหรือบัญชีท้องถิ่น จะถูกส่งไปยังเซิร์ฟเวอร์ในระหว่างกระบวนการยืนยันตัวตน มันมีการเคลื่อนที่ คนที่ขโมยรหัสผ่านของคุณสามารถลงชื่อเข้าใช้บัญชีของคุณจากที่ใดก็ได้ นั่นคือจุดอ่อนหลัก ไม่สำคัญว่ารหัสผ่านจะซับซ้อนเพียงใดถ้ามันอยู่ในฐานข้อมูลที่ไหนสักแห่งรอให้ถูกละเมิด หรือถูกสกัดกลางทางโดยใครบางคนที่สังเกตบนเครือข่าย

รหัส PIN ของ Windows Hello ไม่ทำงานแบบนั้นเลย รหัส PIN เป็นรหัสเฉพาะเครื่องในแง่ที่ว่าไม่ได้ถูกส่งไปยังที่ใด และไม่ได้ถูกเก็บไว้บนเซิร์ฟเวอร์ เมื่อสร้างรหัส PIN จะสร้างความสัมพันธ์ที่เชื่อถือได้กับผู้ให้บริการตัวตนและสร้างคู่คีย์ไม่สมมาตรที่ใช้สำหรับการยืนยันตัวตน เมื่อคุณพิมพ์รหัส PIN ของคุณ คุณไม่ได้ส่งรหัส PIN ไปที่ใด คุณกำลังปลดล็อกคีย์เข้ารหัสที่อยู่บนเครื่องของคุณ ซึ่งจากนั้นจะลงชื่อในคำขอการยืนยันตัวตน เซิร์ฟเวอร์ไม่เคยเห็นรหัส PIN เครือข่ายก็ไม่เห็นเช่นกัน เซิร์ฟเวอร์ไม่มีสำเนาของรหัส PIN สำหรับเรื่องนั้น ไคลเอนต์ Windows ก็ไม่มีสำเนาของรหัส PIN ปัจจุบันเช่นกัน

ซึ่งนั่นก็หมายความว่าการฟิชชิงไม่สามารถใช้กับมันได้ เนื่องจากไม่ได้ใช้รหัสผ่าน จึงเลี่ยงวิธีการขโมยข้อมูลประจำตัว เช่น การโจมตีแบบเดาสุ่มรหัสผ่านและฟิชชิง คุณไม่สามารถหลอกให้ใครสักคนกรอกรหัส PIN ของ Windows Hello บนเว็บไซต์ปลอมแล้วนำไปใช้อีกที่หนึ่งได้ ข้อมูลประจำตัวนั้นถูกเชื่อมโยงด้วยรหัสลับกับอุปกรณ์เฉพาะที่สร้างขึ้น และไม่สามารถใช้งานที่อื่นได้ ขโมยรหัส PIN เท่าไหร่ก็ได้; หากไม่มีเครื่องจริง มันก็เป็นแค่ตัวเลขเท่านั้น

ชิปความปลอดภัยเฉพาะทางกำลังทำหน้าที่ป้องกันจริง

รหัส PIN คือยามหนีบประตู; TPM คือห้องเก็บของ

ในการเข้าใจจริง ๆ ว่าทำไม PIN จึงอยู่เฉพาะเครื่อง คุณต้องดูว่าอะไรที่ยึดมันให้อยู่ในตำแหน่ง นั่นคือ Trusted Platform Module หรือ TPM PIN ของ Windows Hello ได้รับการสนับสนุนโดยชิปเล็ก ๆ นี้ ซึ่งพื้นฐานแล้วเป็นตู้เซฟบนเมนบอร์ดของคุณ หน้าที่ของมันคือสร้างกุญแจเข้ารหัส เก็บรักษา และตรวจสอบให้แน่ใจว่าไม่มีสิ่งใดจากภายนอกชิปสามารถเข้าถึงโดยตรง วัสดุกุญแจของคุณถูกสร้างและเก็บไว้ภายใน TPM ดังนั้นผู้โจมตีจึงไม่สามารถดึงออกมาใช้ซ้ำได้ และเนื่องจาก Windows Hello พึ่งพาคู่กุญแจแบบอสมมาตร ข้อมูลรับรองของคุณจึงไม่ถูกเก็บบนเซิร์ฟเวอร์ที่อาจถูกรั่วไหล แม้แต่ถ้าบริการที่คุณใช้ถูกโจมตี วิธีการเข้าสู่ระบบของคุณก็จะไม่เป็นส่วนหนึ่งของผลกระทบนั้น

ยังมีชั้นการป้องกันการโจมตีแบบเดาสุ่มที่สำคัญซ่อนอยู่ในฮาร์ดแวร์ด้วย TPM จะจำกัดจำนวนครั้งที่ใส่ PIN ผิด และถ้าคุณพยายามมากเกินไป อุปกรณ์จะล็อกคุณออก ผู้โจมตีที่พยายามเดา PIN แบบตัวเลขสี่หลักอย่างง่ายกำลังต่อสู้กับเวลา โดยมีโอกาสประมาณ 0.04 เปอร์เซ็นต์ที่จะเดาถูกก่อนที่ระบบจะล็อกพวกเขาออกอย่างสมบูรณ์ และนี่ไม่ใช่การตั้งค่าที่คุณจะปิดแบบไม่ตั้งใจได้เพราะมันถูกบังคับใช้ในระดับฮาร์ดแวร์

ลองจินตนาการถึงใครสักคนที่พยายามเจาะระบบด้วยวิธีที่ยาก พวกเขาต้องเข้าถึงอุปกรณ์ของคุณด้วยตัวเองก่อน จากนั้นพวกเขาต้องปลอมแปลงข้อมูลชีวมิติของคุณหรือเดา PIN ของคุณให้ถูกต้อง และพวกเขาต้องทำทั้งหมดนั้นก่อนที่การป้องกันการโจมตีซ้ำซ้อนของ TPM จะเริ่มทำงานและล็อกทุกอย่างไว้ นั่นเป็นภูเขาที่สูงมากที่จะปีน ผู้โจมตีส่วนใหญ่ก็ไม่ได้อยู่ในห้องเดียวกับแล็ปท็อปของคุณด้วยซ้ำ และผู้ที่อยู่ในห้องเดียวกันก็ต้องเผชิญกับการเข้ารหัสแบบมีฮาร์ดแวร์รองรับและนาฬิกาที่กำลังนับถอยหลัง

ไม่ใช่เรื่องเป็นไปไม่ได้ แน่นอน แต่เป็นเกมที่แตกต่างอย่างมากจากอีเมลฟิชชิงและฐานข้อมูลรหัสผ่านที่รั่วไหล

มีข้อแม้ข้อหนึ่ง

มันไม่ใช่ข้อบกพร่อง — มันเป็นเพียงบริบท

สิ่งเหล่านี้ทั้งหมดแทบจะไม่สามารถใช้ได้หากอุปกรณ์ของคุณไม่มีชิป TPM Windows 11 กำหนดให้ต้องมี TPM 2.0 ซึ่งช่วยเลี่ยงปัญหาได้อย่างดี แต่ระบบเก่าอย่าง Windows 10 จะยืดหยุ่นมากกว่า พวกเขาอนุญาตให้เข้าสู่ระบบด้วย PIN โดยไม่ต้องมีฮาร์ดแวร์นั้น และนั่นคือจุดที่ปัญหาเริ่มคลี่คลาย

หากไม่มี TPM รหัส PIN จะไม่เชื่อมโยงกับฮาร์ดแวร์ที่ปลอดภัยอีกต่อไป มันกลายเป็นเพียงค่าที่ถูกแฮช ซึ่งอยู่ในซอฟต์แวร์บนไดรฟ์ระบบของคุณ ในจุดนั้น รหัส PIN แบบสี่ถึงหกหลักธรรมดาไม่ใช่อุปสรรคมากนัก ด้วยเครื่องมือที่เหมาะสม รหัส PIN สามารถถูกดึงออกมาและถูกโจมตีด้วยวิธี brute force ได้ในเวลาไม่กี่นาที

มันยังช่วยแยกว่าการทำงานนี้เป็นอย่างไรในแต่ละประเภทบัญชี เพราะประสบการณ์ไม่เหมือนกัน

• บัญชี Microsoft: PIN ทำหน้าที่เป็นการยืนยันตัวตนแบบหลายปัจจัยที่ถูกต้อง คุณมีอุปกรณ์เองพร้อมคีย์ที่ผูกกับฮาร์ดแวร์ และ PIN ที่คุณกรอกเพื่อปลดล็อก ทั้งสองอย่างจำเป็น และเนื่องจากทุกอย่างผูกกับเครื่องนั้นโดยเฉพาะ PIN ที่ถูกขโมยไปก็ไร้ประโยชน์เพียงอย่างเดียวหากไม่มีอุปกรณ์จริงที่มันเป็นของ
• บัญชีท้องถิ่น: ในขณะที่ PIN ยังคงจำเพาะกับอุปกรณ์ แต่ก็ขาดการป้องกันแบบกุญแจไม่สมมาตรที่ใช้โดยบัญชี Microsoft หรือ Entra ID ในระบบเก่าที่ไม่มี TPM การใช้ PIN กับบัญชีท้องถิ่นแทบไม่ให้ประโยชน์ด้านความปลอดภัยใด ๆ เหนือรหัสผ่านธรรมดา; ส่วนใหญ่เป็นเรื่องของการพิมพ์ตัวอักษรน้อยลง

ตรวจสอบสถานะ TPM ของคุณใน Windows

สวัสดี คุณกำลังมองหา TMP ใช่ไหม?

ในการตรวจสอบว่า PIN ของ Windows Hello ของคุณมีการป้องกันด้วยฮาร์ดแวร์โดย TPM หรือไม่ คุณสามารถตรวจสอบสถานะ TPM ในความปลอดภัยของ Windows หรือใช้เครื่องมือบรรทัดคำสั่งเพื่อยืนยันในเชิงเทคนิคเพิ่มเติม

วิธีที่ 1: ตรวจสอบความปลอดภัยของ Windows (เป็นมิตรต่อผู้ใช้)

วิธีที่ตรงที่สุดในการดูว่า TPM ทำงานอยู่และสามารถใช้งานกับ Windows ได้หรือไม่คือผ่านแอปความปลอดภัย หากคุณไม่คุ้นเคยกับเมนู มีหลายวิธีที่รวดเร็วในการเปิดแอปความปลอดภัยของ Windows ใน Windows 11

1. เปิด การตั้งค่า (Win + I) แล้วไปที่ ความเป็นส่วนตัว & ความปลอดภัย > ความปลอดภัยของ Windows
2. เลือก ความปลอดภัยของอุปกรณ์.

3. มองหาส่วน หน่วยประมวลผลความปลอดภัย:

   • หากคุณเห็นรายละเอียดของตัวประมวลผลความปลอดภัย, รหัส PIN ของคุณน่าจะได้รับการสนับสนุนโดยฮาร์ดแวร์จาก TPM
   • ถ้าคุณเห็น "ไม่รองรับมาตรฐานความปลอดภัยของฮาร์ดแวร์," ระบบของคุณไม่มี TPM ที่ใช้งานได้ และรหัส PIN ของคุณถูกจัดเก็บในซอฟต์แวร์

วิธีที่ 2: คอนโซลการจัดการ TPM

เครื่องมือนี้ให้รายงานสถานะอย่างรวดเร็วเกี่ยวกับฮาร์ดแวร์

1. กด Win + R พิมพ์ tpm.msc และกด Enter
2. ในส่วน สถานะ ให้มองหาข้อความ "TPM พร้อมใช้งานแล้ว"
3. ตรวจสอบ เวอร์ชันสเปค ที่มุมขวาล่าง; Windows 11 ต้องการเวอร์ชัน 2.0 สำหรับการป้องกันฮาร์ดแวร์มาตรฐาน

วิธีที่ 3: การตรวจสอบด้วยคำสั่งขั้นสูง

ในการยืนยันว่ากุญแจ Windows Hello เฉพาะของคุณถูกเก็บไว้ในฮาร์ดแวร์ (แทนที่จะเพียงแค่รู้ว่า TPM มีอยู่) ให้ใช้คำสั่งนี้ใน Command Prompt (เรียกใช้ในฐานะผู้ดูแลระบบ):

certutil -csp "Microsoft Passport Key Storage Provider" -key -v มองหาแถว NgcKeyImplType (Next Generation Credentials) ในผลลัพธ์:

• 1 (0x1): ฮาร์ดแวร์สนับสนุน (TPM) — ปลอดภัย.
• 2 (0x2): ใช้ซอฟต์แวร์สนับสนุน — มีความเสี่ยงต่อการโจมตีแบบเดาสุ่ม ที่กล่าวถึงก่อนหน้านี้

เรียบง่ายบนพื้นผิว แต่ค่อนข้างมั่นคงด้านล่าง

ความจริงก็คือฟีเจอร์ด้านความปลอดภัยมักจะทำงานได้ตามที่โฆษณา — ภายใต้เงื่อนไขที่ถูกออกแบบมาเท่านั้น PIN ของ Windows Hello เป็นตัวเลือกที่ปลอดภัยกว่าจริงๆ มันเพียงแค่ต้องมีฮาร์ดแวร์ที่เหมาะสมอยู่เบื้องหลังเพื่อให้สมควรกับตำแหน่งนั้น

พีซีส่วนใหญ่ที่ส่งออกในช่วงไม่กี่ปีที่ผ่านมา มีมัน อันของคุณก็น่าจะมีเช่นกัน