Windows 11 и PIN

Microsoft тихо подвезла корпоративному миру новый «улучшайзер»: после последних апдейтов Windows 11 ваши железные токены FIDO2 внезапно могут потребовать PIN при входе. Никаких багов, никаких «ой, сорян» — всё строго по стандарту. Redmond лишь подтянул систему к WebAuthn, который давно диктует: если ключ умеет проверять пользователя — пусть доказывает, что в руках не рандомного офисного обезьянина.

Апгрейд вступил в силу ещё после сентябрьского превью-патча KB5065789 и окончательно закрепился ноябрьским обновлением KB5068861. То есть пока ИТ-отдел решал, почему Outlook опять ест RAM, пользователям тихо подложили новый уровень авторизации: подключился ключ — будь добр, поставь PIN.

Сценарий выглядит так: Identity Provider запрашивает «User Verification = Preferred», ключ без PIN, Windows такая: «Ну так сделай». Ключу хоть и не нравятся вопросы личного характера, но стандарт требует — значит нужно завести себе маленький, но секретный код. Если же админы не хотят, чтобы пользователи создавали лишние PIN-пароли и потом звонили в саппорт с вопросом «а я его куда записал?», можно просто выставить настройку WebAuthn в режиме «discouraged». Тогда Windows перестанет заставлять ключ доказывать свою личность.

Microsoft уверяет, что делает это ради унификации: теперь регистрация и аутентификация токенов должны работать одинаково — если ключ по идее умеет проверять пользователя, он будет это делать всегда. Никаких двойных стандартов — только железные стандарты.

Сама технология FIDO2 давно продаётся нам как «анти-фишинговая мечта без паролей»: не нужен логин, не нужен пароль, только физический девайс — и ты в системе. Но реальность, как всегда, злая: чем больше защиты от взлома, тем чаще звонки в техподдержку с текстом «помогите, я забыл то, чего у меня раньше не было».

Тем не менее криптографический мир уже давно движется к тому, чтобы пользователь был не просто владельцем устройства, но и подтверждал свою авторизацию чем-то личным — PIN, отпечатком пальца, биометрией. И Microsoft лишь подтолкнула индустрию к принятому стандарту, который раньше все предпочитали игнорировать, чтобы «не беспокоить пользователей».

Теперь беспокоить будут. Но зато безопасно.