Gebruiksscenario en aanbevolen procedures voor Windows Hello

Windows Hello voor Bedrijven (WHfB) is Microsofts technologie voor wachtwoordloze authenticatie die wachtwoorden vervangt door een aan het apparaat gekoppeld asymmetrisch sleutelpaar, dat wordt ontgrendeld met een pincode of biometrische authenticatie. Het belangrijkste doel is het elimineren van wachtwoordgebaseerde aanvallen, zoals phishing, credential stuffing en password spraying, die de meeste bedrijfsaccounts in gevaar brengen.

Organisaties implementeren Windows Hello voor Bedrijven om wachtwoorden als aanvalsoppervlak te elimineren. Omdat de privésleutel wordt gegenereerd in de Trusted Platform Module (TPM) van het apparaat en deze nooit verlaat, is er geen gedeeld geheim dat kan worden misbruikt, hergebruikt of van een server gestolen. De best practice-implementatie beheert WHfB centraal via Microsoft Intune en Microsoft Entra ID, zorgt voor naleving van apparaatvereisten en voorwaardelijke toegang, en kiest het juiste vertrouwensmodel voor de omgeving.

Key Takeaways

• De belangrijkste toepassing is het vervangen van wachtwoorden door phishingbestendige, op sleutels gebaseerde authenticatie die aanvallers niet op afstand kunnen onderscheppen.
• Windows Hello (voor consumenten) en Windows Hello voor Bedrijven zijn verschillend: de consumentenversie ontgrendelt een opgeslagen wachtwoord, terwijl WHfB gebruikmaakt van een beheerd asymmetrisch sleutelpaar.
• WHfB biedt directe bescherming tegen phishing, credential stuffing, brute force-aanvallen en password spraying.
• De beste werkwijze is centraal beheer via Intune en Entra ID, met de vereiste TPM, apparaatconformiteit, voorwaardelijke toegang en monitoring.
• Kies een vertrouwensmodel (cloud Kerberos, sleutel- of certificaatvertrouwen); Microsoft raadt cloud Kerberos-vertrouwen aan voor de meeste nieuwe hybride implementaties.

Wat Windows Hello voor Bedrijven wel (en niet) is

Windows Hello voor Bedrijven is Microsofts wachtwoordloze aanmeldservice voor Windows 10 en Windows 11. Het wordt vaak verward met Windows Hello voor consumenten, maar de twee verschillen op een belangrijk punt voor de beveiliging. Windows Hello voor consumenten ontgrendelt een lokaal opgeslagen wachtwoord na een biometrische handeling of pincode; volgens Microsoft wordt het niet ondersteund door een asymmetrisch sleutelpaar. Windows Hello voor Bedrijven genereert daarentegen een asymmetrisch sleutelpaar (of geeft een certificaat uit) dat wordt beschermd door de TPM van het apparaat, registreert de openbare sleutel bij Microsoft Enterprise ID of Active Directory en wordt centraal beheerd via Groepsbeleid of Microsoft Intune.

	Windows Hallo	Windows Hallo voor bedrijven
Toehoorders	Individuele consumenten	organisaties
Geloofsbrief	Opgeslagen wachtwoord vrijgegeven na een gebaar	Asymmetrisch sleutelpaar of certificaat, gegenereerd in de TPM.
Management	Lokaal voor het apparaat	Groepsbeleid of Microsoft Intune
Identiteit	Lokaal of Microsoft-account	Active Directory of Microsoft Entra ID
Phishing-bestendigheid	Beperkt; het opgeslagen wachtwoord kan nog steeds worden gestolen.	Sterk; de privésleutel verlaat het apparaat nooit.

Windows Hello voor Bedrijven werkt op Windows 10 en Windows 11 en integreert met Microsoft Entra ID (voorheen Azure Active Directory) en Microsoft Intune (voorheen Microsoft Endpoint Manager).

Het probleem: waarom authenticatie met wachtwoorden mislukt

Stel je een organisatie voor waar inloggen nog steeds afhankelijk is van wachtwoorden. Aanvallers bemachtigen een lijst met gelekte gebruikersnamen en wachtwoorden uit een ander datalek en gebruiken deze om in te loggen op de accounts van het bedrijf. Omdat medewerkers wachtwoorden hergebruiken, slagen verschillende pogingen, waardoor de aanvallers toegang krijgen tot interne systemen en gevoelige gegevens. Dezelfde organisatie beschikt niet over een tweede authenticatiefactor om hergebruikte inloggegevens te voorkomen en heeft beperkte controlemechanismen om de inbraak snel te ontdekken.

Dat scenario komt overeen met vijf concrete zwakke punten in wachtwoordgebaseerde systemen:

• Beveiligingsproblemen: Wachtwoorden kunnen worden geraden, hergebruikt, onderschept en massaal van servers worden gestolen.
• Nalevingsrisico: Aanmelden met alleen een wachtwoord voldoet niet altijd aan de moderne eisen voor authenticatie en betrouwbaarheid, zoals bijvoorbeeld: NIST SP 800-63B.
• Geen multifactorauthenticatie: Zonder een tweede authenticatiefactor is één gelekt wachtwoord al voldoende om een ​​account te compromitteren.
• Zwakke audit: Door de beperkte logboekregistratie blijven aanvallen met hergebruikte inloggegevens en nep-portalen onopgemerkt.
• Wachtwoord VermoeidheidGebruikers die met veel wachtwoorden jongleren, hergebruiken ze en kiezen zwakke wachtwoorden, waardoor het aanvalsoppervlak groter wordt.

De risico's die Windows Hello voor Bedrijven aanpakt

De meeste aanvallen op inloggegevens maken gebruik van het wachtwoord zelf. Door het wachtwoord te vervangen door een aan het apparaat gekoppeld sleutelpaar, wordt elk van deze aanvallen onschadelijk gemaakt of aanzienlijk verminderd. De tabel koppelt elke dreiging aan de beveiligingsmaatregelen die Windows Hello voor Bedrijven biedt.

Bedreiging	Wat het doet	Hoe WHfB dit verzacht
Phishing	Misleidt gebruikers door hen hun inloggegevens te laten invoeren op een nep-pagina die een echt portaal nabootst.	Er is geen wachtwoord nodig; de privésleutel verlaat de TPM nooit en kan dus niet worden onderschept.
Vulling met referenties	Replays hebben gebruikersnaam- en wachtwoordcombinaties gelekt, waardoor hergebruik mogelijk werd.	Elke inloggegevens zijn uniek voor één apparaat en gebruiker, dus gelekte lijsten kunnen niet worden gereproduceerd.
Brute aanval	Raadt wachtwoorden door middel van vallen en opstaan.	De TPM vergrendelt het apparaat na mislukte pogingen om de pincode in te voeren, en de pincode blijft daarin opgeslagen.
Man-in-the-middle	Onderschept of wijzigt authenticatieverkeer om inloggegevens te bemachtigen.	Ondertekent een uitdaging met de privésleutel in plaats van een herbruikbaar geheim te versturen.
Zwakke identiteitsverificatie	Een gedeeld geheim bewijst niet per se wie er tekent.	Een hardwarematige sleutel in combinatie met een biometrische authenticatie of pincode is een echte tweefactorauthenticatie.
Wachtwoord sprayen	Probeert veelgebruikte wachtwoorden uit op meerdere accounts.	Geen netwerkwachtwoord voor spray

Omdat Windows Hello voor Bedrijven asymmetrische sleutels gebruikt, kunnen de inloggegevens niet worden gestolen, zelfs niet als de identiteitsprovider of een website die de gebruiker bezoekt wordt gehackt. De privésleutel wordt gegenereerd in en beschermd door de TPM en wordt nooit verzonden, aldus de documentatie van Microsoft over Windows Hello voor Bedrijven . Het voorkomt op zichzelf niet dat een vertrouwde medewerker misbruik maakt van de toegang die hij of zij al heeft. Combineer het daarom met het principe van minimale bevoegdheden, voorwaardelijke toegang en monitoring.

Windows Hello voor bedrijven: beste werkwijzen

Een veilige en bruikbare uitrol combineert het juiste vertrouwensmodel met centraal beleid, apparaatconformiteit en monitoring. De volgende punten weerspiegelen de huidige richtlijnen van Microsoft voor Entra ID- en Intune-omgevingen.

1. Windows Hello voor Bedrijven inschakelen via Intune en Entra ID: Turn on Windows Hallo voor bedrijven Op Windows 10- en Windows 11-apparaten wordt aanmelden zonder wachtwoord als basis ingesteld.
2. Een TPM is vereist. Stel het hardwarebeveiligingsbeleid in op 'Vereist', zodat sleutels in de TPM worden gegenereerd in plaats van in de software. Microsoft raadt aan om TPM 1.2-apparaten uit te sluiten en de configuratie uit te voeren op TPM 2.0.
3. Stel een verstandig PIN- en biometrisch beleid op.Houd de pincode numeriek (standaard minimaal zes cijfers, configureerbaar tot vier) zodat gebruikers deze niet als een wachtwoord beschouwen, en schakel anti-spoofing voor gezichtsherkenning in.
4. Handhaaf de naleving van de apparaatrichtlijnen: Gebruik Intune-nalevingsbeleid zodat alleen gezonde, conforme apparaten zich kunnen registreren en WHfB-referenties kunnen gebruiken.
5. Centraal beheren: Gebruik Intune (het tenantbrede inschrijvingsbeleid plus profielen voor accountbeveiliging of instellingencatalogus) voor een consistente configuratie en rapportage, en voorkom conflicterende beleidsregels die uw instellingen ongemerkt overschrijven.
6. Voorwaardelijke toegang configureren: Pas Microsoft Entra Conditional Access toe om de toegang tot resources te beperken op basis van apparaatconformiteit, locatie of aanmeldrisico, als aanvulling op de sterke authenticatie op het apparaat zelf.
7. Zorg voor alternatieve inschrijvings- en herstelprocedures: Gebruik een tijdelijke toegangspas of een andere phishingbestendige methode voor de eerste registratie en schakel zelfservice voor het opnieuw instellen van de pincode en een back-upmethode zoals een FIDO2-sleutel in om te voorkomen dat uw account wordt geblokkeerd.
8. Plan uw geprivilegieerde accounts afzonderlijk: Domeinbeheerders en andere leden van beveiligde groepen zijn standaard uitgesloten van de Kerberos-vertrouwensrelatie in de cloud; gebruik hiervoor dubbele inschrijving of een werkstation met bevoorrechte toegang.
9. Authenticatie en provisioning bewaken: Controleer de aanmeldingslogboeken van Entra ID, de HelloForBusiness- en gebruikersapparaatregistratielogboeken en de Intune-rapporten om provisioningfouten en -afwijkingen vroegtijdig op te sporen.

Een implementatievertrouwensmodel kiezen

Het vertrouwensmodel bepaalt hoe een WHfB-referentie wordt gevalideerd ten opzichte van de on-premises Active Directory; het verandert niets aan de authenticatie met Microsoft Entra ID, die altijd de sleutel gebruikt. Het ene model is niet inherent veiliger dan het andere; het verschil zit hem in de infrastructuur die elk model vereist.

Vertrouwensmodel	Hoe het gevalideerd wordt met Active Directory	PKI-vereiste
Cloud Kerberos Trust	Microsoft Entra ID geeft een gedeeltelijk Kerberos-ticket uit dat door on-premises domeincontrollers wordt geaccepteerd, met behulp van Microsoft Entra Kerberos. Dit is het door Microsoft aanbevolen model.	Er is geen gebruikers- of bedrijfs-PKI nodig voor WHfB; domeincontrollers hebben nog steeds hun eigen certificaten nodig.
Sleutelvertrouwen	De publieke sleutel van de gebruiker wordt opgeslagen in Active Directory en gebruikt om een ​​Kerberos-verzoek te valideren; er wordt geen gebruikerscertificaat uitgegeven.	Enterprise PKI voor domeincontrollercertificaten
Certificaat Vertrouwen	Aan de gebruiker wordt een eindgebruikerscertificaat verstrekt waarmee hij zich bij Active Directory kan aanmelden; AD FS fungeert als de instantie voor certificaatregistratie.	Enterprise PKI plus een certificeringsinstantie (AD FS)

Versievereisten: Cloud Kerberos-vertrouwen vereist gepatchte clients op ten minste Windows 10 21H2 (KB5010415) of Windows 11 21H2 (KB5010414), en volledig gepatchte Windows Server 2016 of latere domeincontrollers, volgens de implementatiehandleiding voor cloud Kerberos-vertrouwen van Microsoft . Microsoft Entra Kerberos moet expliciet voor het domein worden ingeschakeld; het is niet standaard ingeschakeld. Cloud Kerberos-vertrouwen en certificaatvertrouwen kunnen niet tegelijkertijd op hetzelfde apparaat worden ingeschakeld.

Resultaten van een Windows Hello voor Bedrijven-implementatie

Een goed uitgevoerde WHfB-implementatie biedt tegelijkertijd een betere beveiliging en een prettigere aanmeldervaring:

• Phishingbestendige, op sleutels gebaseerde authenticatie vervangt wachtwoorden als primair authenticatiemiddel.
• De handhaving van Intune-apparaatconformiteit beperkt de toegang tot gezonde, beheerde apparaten.
• Voorwaardelijke toegang biedt nauwkeurige controle over wie toegang krijgt tot wat, en onder welke voorwaarden.
• Sneller en probleemloos inloggen met een pincode of biometrische authenticatie verbetert de gebruikerstevredenheid.
• Gecentraliseerde logging in Entra ID en Intune ondersteunt de tijdige detectie van afwijkingen.

Waar PKI nog steeds een rol speelt

Hoewel Kerberos-vertrouwen in de cloud de certificaatvereisten vermindert, blijft PKI essentieel voor veel Microsoft-omgevingen: domeincontrollers hebben certificaten nodig en vertrouwen in sleutels en certificaten is afhankelijk van een PKI binnen de onderneming. Een goed functionerende interne PKI vormt de basis van deze implementaties. Zie wat een certificeringsinstantie is voor de vertrouwensbasis.

Hoe encryptieconsultancy kan helpen

De PKI-services van Encryption Consulting ontwerpen en beheren de Microsoft PKI achter Windows Hello voor Bedrijven, inclusief de implementatie van Windows Hello voor Bedrijven , domeincontrollercertificaten en de implementatie van certificaatvertrouwen. Voor beheerde, cloudgebaseerde PKI's elimineert PKI-as-a-Service de operationele overhead en automatiseert CertSecure Manager de certificaatlevenscyclus, zodat een verlopen certificaat de authenticatie nooit verstoort. Ons werk wordt ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.

Veelgestelde Vragen / FAQ

Wat zijn de belangrijkste gebruiksscenario's voor Windows Hello voor bedrijven?

Het belangrijkste gebruiksscenario is wachtwoordloos, phishingbestendig aanmelden voor medewerkers, ter vervanging van wachtwoorden die via phishing kunnen worden achterhaald, hergebruikt of gestolen. Organisaties gebruiken het ook om te voldoen aan authenticatie- en compliance-doelstellingen, apparaatgebaseerde toegang af te dwingen via Intune en voorwaardelijke toegang, en de aanmeldervaring met een pincode of biometrische authenticatie te verbeteren op Windows 10- en Windows 11-apparaten.

Wat zijn de beste werkwijzen voor het implementeren van Windows Hello voor bedrijven?

Schakel het in via Intune en Microsoft Entra ID, vereis een TPM zodat sleutels hardwarematig beveiligd zijn, stel een numeriek PIN-beleid in met anti-spoofing voor biometrie, handhaaf apparaatconformiteit en implementeer voorwaardelijke toegang. Bied terugvalopties voor inschrijving en herstel, zoals een tijdelijke toegangspas en een FIDO2-sleutel, plan apart voor accounts met privileges en controleer aanmeldings- en provisioneringslogboeken.

Wat is het verschil tussen Windows Hello en Windows Hello voor Bedrijven?

Windows Hello is de consumentenversie waarmee een lokaal opgeslagen wachtwoord kan worden ontgrendeld met een pincode of biometrische authenticatie. Windows Hello voor Bedrijven is de bedrijfsversie, die wordt beheerd via Groepsbeleid of Intune, en die gebruikmaakt van een asymmetrisch sleutelpaar of certificaat dat is gekoppeld aan een organisatie-identiteit. Deze versie integreert met Active Directory of Microsoft Entra ID voor centraal beheerde, phishingbestendige aanmeldingen.

Vereist Windows Hello voor Bedrijven een PKI?

Het hangt af van het vertrouwensmodel. Certificaatvertrouwen en sleutelvertrouwen maken gebruik van Active Directory en vereisen een PKI voor domeincontrollercertificaten, terwijl certificaatvertrouwen ook gebruikerscertificaten vereist. Cloud Kerberos-vertrouwen, dat Microsoft aanbeveelt voor hybride implementaties, maakt de implementatie van een PKI voor WHfB overbodig door Microsoft Entra Kerberos te gebruiken om een ​​vertrouwensobject in Active Directory te creëren.

Is Windows Hello voor Bedrijven bestand tegen phishing?

Ja. Omdat authenticatie gebruikmaakt van een privésleutel die aan het apparaat is gekoppeld en door de TPM wordt beschermd, is er geen wachtwoord dat kan worden onderschept, hergebruikt of misbruikt. Een aanvaller kan de inloggegevens niet op afstand onderscheppen en gebruiken, aangezien voor ondertekening het lokale apparaat en de pincode of biometrische gegevens van de gebruiker vereist zijn. Dit maakt WHfB een van de door Microsoft aanbevolen methoden ter bescherming tegen phishing.

Waarom is een Windows Hello-pincode veiliger dan een wachtwoord?

Een Windows Hello voor Bedrijven-PIN is gekoppeld aan één apparaat, wordt nooit verzonden en wordt niet op een server opgeslagen. De PIN zelf authenticeert niet; hij ontgrendelt alleen de door de TPM beveiligde privésleutel op dat apparaat. Een aanvaller die de PIN achterhaalt, heeft nog steeds het fysieke apparaat en de bijbehorende TPM nodig. Een gestolen PIN is dus op zichzelf nutteloos, terwijl een wachtwoord tijdens de overdracht kan worden onderschept of van een server kan worden gestolen en overal opnieuw kan worden gebruikt.

Wat is de relatie tussen Windows Hello voor Bedrijven, FIDO2 en wachtwoorden?

Beide methoden zijn wachtwoordloos en bestand tegen phishing, gebaseerd op cryptografie met publieke sleutels, en vullen elkaar aan. Windows Hello voor Bedrijven is de authenticatiemethode op het apparaat zelf voor beheerde Windows-machines, terwijl FIDO2-beveiligingssleutels en passkeys draagbare authenticatiemethoden zijn die op verschillende apparaten werken. Microsoft Entra ID ondersteunt beide, en FIDO2-sleutels worden vaak gebruikt als alternatief voor apparaten zonder bruikbare TPM en voor accounts met hoge privileges of accounts met een hoog risico.

Waarom kunnen domeinbeheerders geen gebruik maken van Cloud Kerberos Trust?

Microsoft Entra Kerberos gedraagt ​​zich als een alleen-lezen domeincontroller en het standaard wachtwoordreplicatiebeleid blokkeert accounts met hoge privileges. Leden van beveiligde groepen, zoals domeinbeheerders, kunnen geen Kerberos-vertrouwensrelatie in de cloud of FIDO2-sleutels gebruiken voor on-premises resources. Microsoft raadt af om dit te versoepelen en adviseert in plaats daarvan dubbele inschrijving of werkstations met bevoorrechte toegang.

Bouw de PKI achter wachtwoordloos

Klaar om Windows Hello voor Bedrijven te implementeren op een solide PKI? Neem contact op met de PKI-experts van Encryption Consulting of ontdek wat een certificeringsinstantie is.