Двофакторна аутентифікація для Windows: як захистити вхід

Пароль — це один фактор захисту. Якщо його вкрадуть — зловмисник отримає повний доступ. Двофакторна аутентифікація (2FA) додає другий рівень: навіть знаючи пароль, без другого фактору увійти не можна.

Варіант 1: Microsoft Authenticator (рекомендовано)

Працює для облікових записів Microsoft (особистих і робочих).

Налаштування:

Встанови Microsoft Authenticator на смартфон
Зайди на account.microsoft.com → Безпека → Розширені параметри безпеки
Увімкни Двоетапна перевірка
Додай Microsoft Authenticator як метод

Вхід в Windows: При вході з'явиться запит підтвердження в додатку на телефоні → натисни Підтвердити.

TOTP-додатки (Google Authenticator, Authy) замість Microsoft Authenticator:

При налаштуванні вибери Інший додаток для автентифікатора → відскануй QR у будь-який TOTP-додаток (Google Authenticator, Authy, Bitwarden, KeePass) → при вході вводь поточний 6-значний код. Authy має хмарне резервне копіювання кодів — зручно якщо загубиш телефон.

Варіант 2: Passwordless вхід

Microsoft дозволяє повністю прибрати пароль і входити тільки через Authenticator.

На account.microsoft.com → Безпека → Розширені параметри → Обліковий запис без пароля → увімкни.

Вхід: вводиш email → підтверджуєш в додатку. Пароль не потрібен.

Варіант 3: Windows Hello + PIN

Windows Hello — це фактично 2FA вбудований в систему: пристрій (ПК) + біометрія або PIN.

PIN в Windows Hello відрізняється від пароля:

Прив'язаний до конкретного пристрою
Захищений чипом TPM
Навіть якщо хтось дізнається твій PIN — він не зможе увійти на іншому ПК

Win + I → Облікові записи → Параметри входу → налаштуй PIN і відбиток пальця або розпізнавання обличчя.

Варіант 4: Апаратний ключ безпеки (FIDO2)

Найнадійніший варіант. Фізичний USB або NFC ключ (YubiKey, Google Titan тощо).

Налаштування:

Купи FIDO2 сумісний ключ
account.microsoft.com → Безпека → Додати новий спосіб входу → Ключ безпеки
Вставте ключ → дотоніться до нього для підтвердження

При вході: вставляєш ключ і торкаєшся кнопки на ньому.

2FA для локальних облікових записів

Для локальних (не Microsoft) облікових записів вбудованої 2FA немає. Варіанти:

Windows Hello — PIN + біометрія на пристрої.

Стороннє ПЗ — наприклад Rohos Logon Key дозволяє входити через USB флешку або смартфон.

Для корпоративного середовища — використовуй Smart Card через Active Directory.

Для адміністраторів: примусова 2FA через Azure AD

Ключі FIDO2 в організації:

# Перевірити чи увімкнена FIDO2 автентифікація в організації
Get-AzureADPolicy | Where-Object {$_.Type -eq "AuthenticationMethodsPolicy"}

Або в Azure Portal: Azure AD → Security → Authentication methods → FIDO2 security keys → увімкни.

Умовний доступ (Conditional Access) — вимагати 2FA для всіх:

Azure Portal → Azure AD → Security → Conditional Access → New policy:

Users: All users
Cloud apps: All cloud apps
Grant: Require multi-factor authentication
Enable policy: On

Після цього всі входи в корпоративні сервіси вимагатимуть 2FA.

Резервні методи і відновлення

Завжди налаштовуй кілька методів 2FA — якщо один недоступний, є запасний:

Основний: Microsoft Authenticator
Резервний: SMS на номер телефону
Екстрений: Резервний код (роздрукуй і збережи фізично)

Резервні коди зберігай роздрукованими в сейфі, або в менеджері паролів на окремому пристрої — не в тому ж телефоні де стоїть Authenticator.

Якщо втратив пристрій з 2FA: використай резервний код або SMS на резервний номер. Якщо нічого немає — account.microsoft.com → Безпека → Не маю доступу до цих параметрів → процедура відновлення акаунту (займає 24-30 днів).

Перевірити активні методи входу

# Перевірити налаштування Windows Hello
Get-WinUserLanguageList

# Перевірити TPM (потрібен для Windows Hello)
Get-Tpm | Select-Object TpmPresent, TpmEnabled, TpmReady

🛡️ Перевір безпеку свого ПК

Хочеш знати чи немає витоків даних, зайвих служб або підозрілих програм на твоєму ПК?

→ AuditShield — аудит Windows по 22 напрямках за 10 хвилин. HTML-звіт з оцінкою ризику. Є безкоштовне демо.

🔑 Потрібен надійний пароль?

→ Генератор паролів — криптографічно надійні паролі прямо в браузері. Нічого не передається на сервер.

Резюме

Найпростіше: увімкни двоетапну перевірку для облікового запису Microsoft + встанови Microsoft Authenticator. Для максимального захисту: апаратний ключ FIDO2. На рівні пристрою: Windows Hello з PIN і біометрією — це вже двофакторна система (пристрій + тіло).