Windows Hello for Business

Définition

Windows Hello for Business est une solution d'authentification forte de Microsoft, remplaçant les mots de passe traditionnels par une combinaison de biométrie (reconnaissance faciale, empreinte digitale) ou de code PIN local, associée à une paire de clés cryptographiques asymétriques générée et stockée dans le module de sécurité matériel TPM (Trusted Platform Module) de l'appareil, rendant la clé privée intrinsèquement non exportable et donc résistante au vol à distance, contrairement à un hash de mot de passe. Trois modèles de déploiement coexistent dans un contexte Active Directory : le modèle Hybrid Certificate Trust, s'appuyant sur une infrastructure PKI (AD CS) pour émettre des certificats liés à l'utilisateur, le modèle Hybrid Key Trust, plus léger car ne nécessitant pas de PKI et s'appuyant directement sur l'authentification par clé publique Kerberos PKINIT, et le modèle Cloud Kerberos Trust, le plus récent, simplifiant encore le déploiement pour les environnements hybrides Azure AD Connect. Sur le plan sécurité, Windows Hello for Business élimine structurellement les risques associés au password spray, au Pass-the-Hash classique et au phishing d'identifiants traditionnels, la clé privée ne quittant jamais le TPM de l'appareil physique de l'utilisateur. Cette technologie s'inscrit directement dans la stratégie passwordless promue conjointement par Microsoft, la FIDO Alliance et les recommandations récentes de l'ANSSI en matière d'authentification forte.