キー マテリアルが生成されるたびに、攻撃から保護する必要があります。 これを実現する最も堅牢な方法は、ハードウェアをカスタマイズすることです。 ハードウェア セキュリティ モジュール (HSM) を使用して、セキュリティクリティカルなアプリケーションのキーを生成、格納、および処理する長い歴史があります。 スマート カードは特別な種類の HSM で、Trusted Computing Group TPM 標準に準拠しているデバイスでもあります。 可能な限り、Windows Hello for Business実装では、TPM ハードウェアのオンボードを利用してキーを生成および保護します。 管理者は、ソフトウェアでのキー操作を許可することもできますが、TPM ハードウェアの使用をお勧めします。 TPM は、PIN のブルート フォース攻撃など、さまざまな既知の潜在的な攻撃を防げます。 アカウント ロックアウト後も、TPM はさらなる保護を追加します。 TPM がキー マテリアルをロックした場合、ユーザーは PIN をリセットする必要があります (つまり、IDP で再登録が許可される前に、ユーザーは MFA を使用して IDP に再認証する必要があります)。 PIN をリセットすると、古いキー マテリアルで暗号化されたすべてのキーと証明書は削除されます。