PIN

PIN to lokalna metoda uwierzytelniania Windows Hello, powiązana z konkretnym urządzeniem i chroniona przez moduł TPM.

PIN w mechanizmie Windows Hello

PIN, czyli osobisty numer identyfikacyjny, w systemie Windows może pełnić funkcję lokalnej metody uwierzytelniania Windows Hello. Nie jest to po prostu drugie hasło do konta Microsoft ani kopia hasła używanego przy logowaniu do poczty. PIN jest konfigurowany dla konkretnego urządzenia i służy do odblokowania lokalnych poświadczeń zapisanych w tym urządzeniu. Z tego powodu ten sam numer może być używany na kilku komputerach, ale na każdym z nich jest rejestrowany niezależnie i nie musi mieć takiej samej wartości.

Podczas konfiguracji Windows Hello system tworzy parę kluczy kryptograficznych. Klucz prywatny pozostaje chroniony na urządzeniu, a użytkownik potwierdza do niego dostęp za pomocą PIN-u, odcisku palca albo rozpoznawania twarzy, zależnie od wyposażenia komputera. PIN nie jest przeznaczony do przesyłania do usługi internetowej jako zwykły tekst. Jego zadaniem jest lokalne potwierdzenie obecności użytkownika przy danym komputerze.

Powiązanie PIN-u z urządzeniem i modułem TPM

Współczesna konfiguracja Windows Hello korzysta z modułu TPM, czyli Trusted Platform Module. Jest to układ bezpieczeństwa lub funkcja firmware’u, która może przechowywać i wykonywać operacje z użyciem kluczy kryptograficznych w odseparowanym środowisku. Dzięki temu klucz prywatny używany przez Windows Hello nie musi być dostępny jako zwykły plik, który można łatwo skopiować na inny komputer. PIN odblokowuje użycie klucza w ramach bieżącego urządzenia, ale sam nie jest kluczem prywatnym.

Znaczenie ma również stan modułu TPM oraz integralność środowiska rozruchowego. Zmiana płyty głównej, wyczyszczenie modułu TPM, przywrócenie ustawień firmware’u albo istotna zmiana konfiguracji zabezpieczeń może spowodować konieczność ponownego skonfigurowania Windows Hello. W takiej sytuacji poprawny PIN może przestać być akceptowany, ponieważ system nie ma już dostępu do pierwotnie zarejestrowanych kluczy. Nie oznacza to automatycznie, że sam numer został wpisany błędnie.

PIN, hasło konta i metody odzyskiwania dostępu

Hasło konta i PIN Windows Hello pełnią różne funkcje. Hasło może służyć do uwierzytelniania konta w usługach sieciowych, natomiast PIN jest związany z lokalnym mechanizmem logowania na określonym komputerze. Zmiana hasła konta nie musi zmienić PIN-u, a zmiana PIN-u nie zmienia hasła konta. Przy pierwszej konfiguracji lub po określonych zmianach system może jednak zażądać ponownego potwierdzenia tożsamości hasłem, kodem zabezpieczającym albo inną metodą dostępną dla danego konta.

Jeżeli logowanie PIN-em nie działa, warto rozróżnić kilka przyczyn: błędny numer, zablokowanie po wielokrotnych próbach, uszkodzenie lokalnej konfiguracji Windows Hello, problem z modułem TPM albo zmianę stanu konta. Na ekranie logowania należy sprawdzić, czy dostępna jest opcja „Nie pamiętam mojego numeru PIN” lub możliwość użycia hasła. Nie należy pochopnie czyścić modułu TPM, ponieważ taka operacja może usunąć zapisane klucze zabezpieczeń i wpłynąć na dostęp do zaszyfrowanych danych. Przed resetem TPM trzeba ustalić, jakie mechanizmy szyfrowania i logowania są aktywne na komputerze.

Diagnostyka problemów z logowaniem PIN-em

Diagnostyka problemu z PIN-em powinna obejmować wersję i stan systemu Windows, typ konta, dostępne metody Windows Hello oraz komunikat wyświetlany podczas logowania. Należy sprawdzić, czy problem występuje tylko przy jednym koncie, czy także przy innych kontach lokalnych, oraz czy logowanie hasłem nadal działa. Pomocne jest również ustalenie, czy komputer był ostatnio aktualizowany, czy wymieniano płytę główną, czy zmieniano ustawienia UEFI oraz czy moduł TPM jest widoczny i działa poprawnie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z logowaniem, konfiguracją Windows Hello oraz sprawdzaniem zależności między systemem, kontem użytkownika i modułem TPM. Zakres czynności powinien wynikać z objawów: czasem wystarczy ponowna rejestracja PIN-u, a czasem potrzebna jest naprawa profilu użytkownika, przywrócenie prawidłowej konfiguracji zabezpieczeń lub analiza działania sprzętowego modułu TPM. Przed wykonaniem operacji resetujących należy zabezpieczyć dostęp do konta i upewnić się, że użytkownik zna alternatywną metodę logowania.