适用范围
Windows 10
Windows 10 中的 Windows Hello 可支持用户使用 PIN 登录设备。 PIN 在哪方面不同于(并且优于)密码? 表面上看,PIN 看起来很像密码。 PIN 可以是一组数字,但企业策略可能允许包括特殊字符和字母(大小写均可)的复杂 PIN。 类似于t758A!的内容可以是帐户密码,或者是复杂的 Hello PIN。 使PIN 优于密码的不是它的结构(长度、复杂性),而是它的工作原理。
观看 Dana Huang 对于为什么Windows Hello 企业版 PIN 比密码更安全的解释。
PIN 绑定到设备
密码和 Hello PIN 之间的一个重要区别在于,PIN 会绑定到设置它的特定设备上。 如果没有该特定硬件,此PIN 对任何人都无用。 盗取密码的人可以在任何地方登录你的帐户,但是如果盗取 PIN,他们还必须盗取你的物理设备!
即使你本人也无法在除该特定设备之外的任何地方使用该 PIN。 如果你希望在多台设备上登录,则必须在每台设备上设置 Hello。
PIN 是设备的本地凭据
密码经过传输到达服务器,因此可以在传输中截获密码或从服务器盗取密码。 PIN 是设备的本地凭据,它不会传输到任何地方,并且也不存储在服务器上。 创建 PIN 时,它与标识提供者建立受信任的关系,并且创建用于身份验证的非对称密钥对。 当你输入 PIN 时,它会解锁身份验证密钥,并使用此密钥对发送到身份验证服务器的请求进行签名。
备注
有关 Hello 如何使用非对称密钥对进行身份验证的详细信息,请参阅Windows Hello 企业版。
PIN 受硬件支持
Hello PIN 由受信任的平台模块 (TPM) 芯片支持,该芯片是为执行加密操作而设计的安全加密处理器。 该芯片包含多个物理安全机制以使其防篡改,并且恶意软件无法篡改 TPM 的安全功能。 所有 Windows 10 移动版手机和许多现代笔记本电脑都配有 TPM。
用户密钥材料在用户设备的受信任的平台模块 (TPM) 内生成和提供,从而可以保护密钥材料免受想要捕获和重复使用它的攻击者的攻击。 由于 Hello 使用非对称密钥对,因此无法在用户访问的标识提供者或网站的相关信息泄露的情况下盗取用户凭据。