CryptoLock

Двофакторна аутентифікація для Windows: як захистити вхід

5 хв читання

Як налаштувати двофакторну аутентифікацію для входу в Windows через Microsoft Authenticator, Windows Hello і апаратні ключі безпеки FIDO2.

Пароль — це один фактор захисту. Якщо його вкрадуть — зловмисник отримає повний доступ. Двофакторна аутентифікація (2FA) додає другий рівень: навіть знаючи пароль, без другого фактору увійти не можна.

Варіант 1: Microsoft Authenticator (рекомендовано)

Працює для облікових записів Microsoft (особистих і робочих).

Налаштування:

  1. Встанови Microsoft Authenticator на смартфон
  2. Зайди на account.microsoft.com → Безпека → Розширені параметри безпеки
  3. Увімкни Двоетапна перевірка
  4. Додай Microsoft Authenticator як метод

Вхід в Windows: При вході з'явиться запит підтвердження в додатку на телефоні → натисни Підтвердити.

Варіант 2: Passwordless вхід

Microsoft дозволяє повністю прибрати пароль і входити тільки через Authenticator.

На account.microsoft.com → Безпека → Розширені параметри → Обліковий запис без пароля → увімкни.

Вхід: вводиш email → підтверджуєш в додатку. Пароль не потрібен.

Варіант 3: Windows Hello + PIN

Windows Hello — це фактично 2FA вбудований в систему: пристрій (ПК) + біометрія або PIN.

PIN в Windows Hello відрізняється від пароля:

  • Прив'язаний до конкретного пристрою
  • Захищений чипом TPM
  • Навіть якщо хтось дізнається твій PIN — він не зможе увійти на іншому ПК

Win + I → Облікові записи → Параметри входу → налаштуй PIN і відбиток пальця або розпізнавання обличчя.

Варіант 4: Апаратний ключ безпеки (FIDO2)

Найнадійніший варіант. Фізичний USB або NFC ключ (YubiKey, Google Titan тощо).

Налаштування:

  1. Купи FIDO2 сумісний ключ
  2. account.microsoft.com → Безпека → Додати новий спосіб входу → Ключ безпеки
  3. Вставте ключ → дотоніться до нього для підтвердження

При вході: вставляєш ключ і торкаєшся кнопки на ньому.

2FA для локальних облікових записів

Для локальних (не Microsoft) облікових записів вбудованої 2FA немає. Варіанти:

Windows Hello — PIN + біометрія на пристрої.

Стороннє ПЗ — наприклад Rohos Logon Key дозволяє входити через USB флешку або смартфон.

Для корпоративного середовища — використовуй Smart Card через Active Directory.

Перевірити активні методи входу

# Перевірити налаштування Windows Hello
Get-WinUserLanguageList

# Перевірити TPM (потрібен для Windows Hello)
Get-Tpm | Select-Object TpmPresent, TpmEnabled, TpmReady

🛡️ Перевір безпеку свого ПК

Хочеш знати чи немає витоків даних, зайвих служб або підозрілих програм на твоєму ПК?

→ AuditShield — аудит Windows по 22 напрямках за 10 хвилин. HTML-звіт з оцінкою ризику. Є безкоштовне демо.

🔑 Потрібен надійний пароль?

→ Генератор паролів — криптографічно надійні паролі прямо в браузері. Нічого не передається на сервер.

Резюме

Найпростіше: увімкни двоетапну перевірку для облікового запису Microsoft + встанови Microsoft Authenticator. Для максимального захисту: апаратний ключ FIDO2. На рівні пристрою: Windows Hello з PIN і біометрією — це вже двофакторна система (пристрій + тіло).

Схожі статті

← Всі статті