Microsoft готовит Windows 10, в которую можно проникнуть без пароля

Microsoft убрала из тестовой сборки Windows 10 функцию авторизации путем ввода пароля. Пользователям предложено перейти на PIN-код или биометрию, иначе их данные не будут защищены. Соответствующие изменения могут быть внедрены в одно из ближайших обновлений стабильной версии ОС.

«Беззащитная» Windows

Компания Microsoft тестирует версию Windows 10 без функции ввода пароля для доступа к системе и файлам пользователя. Защита паролем отключена лишь в тестовой версии Windows 10 18936 (20H1), доступной участникам программы Windows Insider.

Обычные пользователи, в том числе установившие весеннее глобальное обновление, пока могут продолжать использовать эту функцию. Неизвестно, планирует ли Microsoft сделать Windows 10 беспарольной для всех в обозримом будущем. Отказ Microsoft от паролей лишит миллионы пользователей возможности хранить на ПК конфиденциальную информацию до тех пор, пока они не перейдут на другие инструменты аутентификации.

Вместо пароля – PIN-код

В качестве альтернативы привычным миллионам пользователей паролям для входа в систему Microsoft предлагает задействовать фирменную систему идентификации Windows Hello. Она подразумевает разблокировку ПК или ноутбука по лицу или отпечатку пальца, но при этом зависит от наличия в компьютере, соответственно, веб-камеры или дактилоскопа.

Привычные многим пароли к Windows Microsoft заменит на 4-значный PIN-код

Для устройств, не оснащенных подобными системами, подойдет третий вариант – PIN-код, устанавливаемый самим пользователем. PIN привязывается к одному конкретному устройству, и его нельзя использовать на других ПК и ноутбуках, принадлежащих одному пользователю. При этом Microsoft не уточняет, чем конкретно PIN-код, состоящий из одних лишь цифр, может быть лучше пароля, который может содержать как цифры, так и символы с буквами, причем последние даже в различных регистрах.

Преимущества все же есть

Один из минусов использования паролей, вне зависимости от их сложности, кроется в человеческом факторе – пользователи нередко используют одну и ту же комбинацию для аутентификации в различных сервисах, что снижает ее надежность. Аналогично могут использоваться и PIN-коды, но Microsoft предлагает дополнить этот метод входа системами двухфакторной авторизации.

Другими словами, Windows Hello в будущем может предложить отправку SMS-сообщения с одноразовым кодом подтверждения при входе в учетную запись, но пока неясно, за чей счет будет осуществляться передача этих SMS. Альтернативный вариант – переход на использование физических ключей идентификации, использующие протокол безопасности FIDO2. Вопрос лишь в удобстве: понравится ли пользователям каждый раз при разблокировке компьютера тянуться к смартфону за паролем из SMS или к USB-ключу. 

Заметим, что компания Google еще летом 2017 г. инициировала кампанию по отказу от SMS при двухфакторной аутентификации пользователей своих сервисов. Вместо них компания начала использовать экранные уведомления как более защищенный способ идентификации – такие уведомления, в отличие от SMS, заметно сложнее перехватить.

Первые шаги сделаны

Внедрение «беспарольной» аутентификации – не первый шаг Microsoft на пути полного отказа от паролей в Windows 10. В мае 2019 г. компания выпустила апдейт для этой ОС, отключающий функцию принудительной смены пароля через определенное время.

В Microsoft полагают, что эта возможность, изначально задуманная для повышения уровня защиты (новая комбинация символов, к примеру, каждый месяц, лучше, чем пароль, который не меняется годами), со своей задачей не справилась. Данная возможность, если речь идет об обычных пользователях, заставляет их придумывать упрощенные комбинации, чтобы было легче их запомнить. Для корпораций же это означало дополнительные действия для системных администраторов, вынужденных выдавать новые пароли пользователям всякий раз в случае, или они были забыты или украдены.

Apple тоже против паролей

Компания Apple тоже борется с паролями как с ненадежной системой защиты, но не в macOS, ранние версии которой можно было взломать вообще без этого самого пароля, а непосредственно в интернете. В декабре 2018 г. она интегрировала в браузер Safari экспериментальную поддержку стандарта беспарольной аутентификации Web Authentication (WebAuthn). По этому стандарту, чтобы залогиниться на сайте, нужен не пароль, а аппаратный ключ безопасности, подключаемый по USB. Первоначально новшество появилось в превью-версии 71 браузера Safari для macOS.

Помимо Safari, поддержка WebAuthn в том или ином виде реализована и в других распространенных браузерах, включая Mozilla Firefox, Google Chrome и Microsoft Edge. К популярным веб-ресурсам, внедрившим поддержку беспарольной аутентификации, относятся облачный файловый сервис Dropbox, сервис для хостинга IT-проектов и их совместной разработки GitHub (принадлежит Microsoft), сайты Google и социальная сеть Facebook.