Принципы работы и сценария применения новой биометрической системы аутентификации Windows 10. Как устроен Windows Hello и Microsoft Passport.

1. Андрей Бешков | Менеджер программ безопасности

2. Пароли,
токены,
билеты
Тихо!
Это секрет!
Тяжело обслуживать легко
потерять

3. Пароли и логины в Интернет
Пользователь
Везде один
пароль
Слабое место
сайт
Злоумышленник
1
Social
.com
Bank
.com
Network
.com
LOL
.com
Obscure
.com
1
2

4. Бизнес логины и пароли
Пользователь
1
3
5
Устройство
IDP
IDP
IDP
2
4
Сетевой
ресурс
Слабое место
пользователь
и устройство
Злоумышленник

5. :)
Анатомия атаки pass the hash
Чистый ПК Пользователь
получил
почту
Пользователя
заманили на
вредоносный
сайт
Устройство
заражено

6. HelpDesk
вошел в
систему
Пароль украден,
атакующий
повысил
привилегии
:)
Чистый ПК Пользователь
получил
почту
Пользователя
заманили на
вредоносный
сайт
Устройство
заражено

7. Пользователя
заманили на
вредоносный
сайт
Устройство
заражено
HelpDesk
вошел в
систему
Пароль украден,
атакующий
повысил
привилегии
атель
ил
у

9. Решения на
основе PKI
Сложны, дороги, имеют изъяны

10. 1
Windows 8.1
Пользователь
2
IDP
Active Directory
3
4 5
6Сетевой
ресурс
Атака на
Центр
сертифика
ции
Злоумышленник

11. Ограниченное
применение
многофакторной
аутентификации
создает бреши в
защите Пользователь
UN/Пароль
Самые ценные ресурсы
Большинство ресурсов

12. Решение для
предприятий и
домашних
пользователей
Простовнедрять Снижениезатратна
обслуживание

13. MICROSOFT PASSPORT
Вашеустройствоодиниз
фактороваутентификации
ЗАЩИЩАЕТСЯ
АППАРАТНО
Удостоверение
пользователя
Параассиметричныхключей
СоздаетсяPKI илилокально
Windows10

14. Представляем
Microsoft
"Passport"
Заменить пароли приватными ключами
доступными только с помощью “user
gesture” (PIN, Windows Hello, удаленное
устройство, и.т.д.)
Цели:
Поддерживается два сценария локальный
Passport и Passport2Go (телефон, USB ключ,
и.т.д.)
Простота и удобство обращения должны
быть не хуже чем у паролей

15. Использование
Microsoft
"Passport"
Ключи
Публичный ключ привязан к
пользовательскому аккаунту
Подтверждаем с помощью OTP или
PhoneFactor
Для пользователя знакомый
интерфейс Windows Hello или PIN
Знакомая ИТ концепция
ассиметричной криптографии. Пара
ключей приватный – публичный.

16. Microsoft
"Passport"
Использование
Ключи генерируются и хранятся в идеале в
(TPM) чипе, или в ПО если нет другого
варианта
Ключи могут быть аттестованы и
привязаны к конкретному TPM
Поддержка с помощью JS/Webcrypto api
чтобы создавать и использовать пароли
для посетителей вебсайтов
Единый «жест» для доступа к множеству
изолированные ключей

17. Аутентификация для организаций и пользователей
IDP
Active Directory
Azure Active Directory
Microsoft Account
Другие IDP
1
User
2
Windows 10
3
Интранет
ресурс
4
4Интранет
ресурс
Новый
подход
Microsoft
Passport

18. Аппаратно
защищенные
ключи (TPM)

19. Альянс FIDO
Члены правления

20. DEMO
Управление Microsoft Passport

21. PIN
Простой вариант
Не требует доп. оборудования
Знаком пользователю
Windows Hello
Улучшенная безопасность
Простота использования
Невозможно забыть и потерять
Доступ в систему и к ключам MS Passport
Sample design, UI not final

22. WINDOWS
HELLO
Лицо
Hello Andrey
Отпечаток
пальца
Зрачок

23. Windows 10 эволюционировала чтобы избавиться от паролей с помощью
Microsoft Passport и биометрии……




24. Развертывание Windows Hello
:)
Найти лицо
Найти точки Определить
ориентацию
головы
Построить и
безопасно
сохранить
шаблон точек

25. Использование
:)
Найти лицо Найти точки Определить
ориентацию
головы
Построить
шаблон точек
Совпадает с
шаблоном точек?

26. Если не сработало
:)
Найти лицо Не совпадает
с шаблоном
Введите PIN для
аутентификации

27. 

Большой набор тестовых данных




29. DEMO
Настройка и управление Windows Hello

30. ©2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, Office, Azure, System Center, Dynamics and other product names are or may be registered trademarks and/or trademarks in the
U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft
must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after
the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.