Microsoft PIN-kode

[SpaceHog]

Kahuna skrev (56 minutter siden):

Hvordan får du resatt PIN når du glemmer den? Bruker passord?

Jeg har ikke prøvd det selv, men Microsoft har denne siden:

Endre eller tilbakestille PIN-koden i Windows
https://support.microsoft.com/nb-no/windows/endre-eller-tilbakestille-pin-koden-i-windows-a386c519-3ab2-b873-1e9b-bb228a98b904

[Kahuna]

Altså passord...

Med andre ord, du må fortsatt huske passord. Som for øvrig heller ikke kan bruteforces forutsatt at du bruker TPM-bitlocker på maskinen.

[barfoo]

30 minutes ago, Kahuna said:

Altså passord...

Med andre ord, du må fortsatt huske passord. Som for øvrig heller ikke kan bruteforces forutsatt at du bruker TPM-bitlocker på maskinen.

Passordet er lokalt. Og bør være unikt for kvar dings. Poenget med Windows Hello er altså at det skal kunne fungere som FIDO-autentiseringsmekanisme i tillegg...

[Kahuna]

Er det noen grunn til at ikke passord kan brukes som en del av FIDO?

[barfoo]

7 minutes ago, Kahuna said:

Er det noen grunn til at ikke passord kan brukes som en del av FIDO?

Et passord på fire tegn er ikkje trygt. Og t.d. biometri kan ikkje brukast utanfor dingsen. Poenget er altså at TPM oppbevarer secrets som PIN, fingeravtrykk, IR-kamera e.l. kan låse opp og gi tilgang til.

Det er faktorer som er enklare i bruk enn et langt passord.

Det finst et tonn dokumentasjon på både FIDO og Windows Hello, så eg gidd strengt tatt ikkje mate deg med info du uansett nekter å ta til deg.

Ang. bitlocker så beskytter det kun data at rest. TPM kan beskytte data på langt betre måte, og kan t.d. tillate bruk av secrets uten at secrets kan kopierast - på grunn av PKI. TPM signerer da typisk payload. Det sikrer at malware ikkje kan kopiere autentiseringsnøkler. Bitlocker vil aldri kunne oppnå det.

Endret i går, 07:36 av barfoo

[Kahuna]

barfoo skrev (2 minutter siden):

Et passord på fire tegn er ikkje trygt.

Og en PIN-kode på 4 siffer er trygg fordi..TPM? Om hashet til et passord på 4 karakterer ligger på en partisjon som er beskyttet av TPM+bitlocker er det trygt nok.

barfoo skrev (4 minutter siden):

Det er faktorer som er enklare i bruk enn et langt passord

Et passord du uansett ikke slipper unna.

barfoo skrev (4 minutter siden):

Det finst et tonn dokumentasjon på både FIDO og Windows Hello, så eg gidd strengt tatt ikkje mate deg med info du uansett nekter å ta til deg.

kan du ikke bare innrømme at du ikke kan dette godt nok til å forklare det.

 

[karekbo]

Takk for engasjement, og diskusjon som går litt utafor mitt opphavlege spørsmål.

Eg har ein Windows10 lisens og har oppgradert datamaskina med nytt hovedkort, CPU etc for å kunne laste ned windows11. Eg var forberedt på ein prosedyre for å reaktivere windows10 lisensen med nytt hovedkort. Det blei det aldri noe krav om, derimot blei eg bedt om å skrive inn ein PIN-kode, like etter at eg hadde logga meg på med datamaskina sin PIN-kode.

Så mitt spørsmål var: kva for PIN-kode er dette? Det viste seg ganske enkelt å vera datamaskina sin PIN-kode, ein gong til. Deretter gjekk installasjon av Windows11 greit, og maskina virker knirkefritt.

Dermed er denne tråden slutt, for min del.

 

[barfoo]

1 hour ago, Kahuna said:

Og en PIN-kode på 4 siffer er trygg fordi..TPM? Om hashet til et passord på 4 karakterer ligger på en partisjon som er beskyttet av TPM+bitlocker er det trygt nok.

Nei. Bitlocker beskytter mot angrep når PCen er avskrudd. Malware vil kunne lese data frå bitlocker-kryptert disk når systemet er boota. Malware vil derimot aldri kunne kopiere ut data fra TPM (eller smartkort), fordi slike komponenter ikkje deler ut kopi av nøkkelmateriale, men kan signere meldinger med nøkkelmateriale. Dessuten kan TPM destruere nøkkelmateriale ved for mange forsøk; harddisker er kun passiv lagring og kan kopierast fritt.

Du har åpenbart ikkje forstått korleis TPM eller smartkort fungerer, og korleis det beskytter mot andre  risikoer enn diskkryptering.

1 hour ago, Kahuna said:

Et passord du uansett ikke slipper unna.

Men du treng ikkje bruke det i praksis. For min del er det kjappere å taste inn fire tegn enn tjue tegn. I tillegg slepp eg altså unike passord på ulike nettsider fordi FIDO/Webauthn/passkeys.

1 hour ago, Kahuna said:

kan du ikke bare innrømme at du ikke kan dette godt nok til å forklare det.

 

Det faktum at du trur at FDE og TPM beskytter mot samme risiko er vel avslørande nok.

[ilpostino]

Kahuna skrev (1 time siden):

kan du ikke bare innrømme at du ikke kan dette godt nok til å forklare det.

Dette er verdens dårligste forsøk på herseteknik, og du stiller deg selv i et dårlig lys når det åpenbart er ting her som du ikke er stødig på. 

[Kahuna]

ilpostino skrev (1 time siden):

Dette er verdens dårligste forsøk på herseteknik, og du stiller deg selv i et dårlig lys når det åpenbart er ting her som du ikke er stødig på. 

I stedet for å svare skikkelig sier han 'just google it'. Det er da avslørende nok

[Kahuna]

barfoo skrev (1 time siden):

Nei. Bitlocker beskytter mot angrep når PCen er avskrudd. Malware vil kunne lese data frå bitlocker-kryptert disk når systemet er boota. Malware vil derimot aldri kunne kopiere ut data fra TPM (eller smartkort), fordi slike komponenter ikkje deler ut kopi av nøkkelmateriale, men kan signere meldinger med nøkkelmateriale.

Da forutsetter du det eksisterer en ubeskyttet angrepsvektor som virker uten at bruker trenger logge på. Det skjer jo fra tid til annen men da er du over på et sikkerhetsnivå vanlige dødelige normalt ikke skal trenge å bekymre seg over.

Vil TPM-brikken beskytte deg om systemet er infisert? Hva slags nøkler kan lagres i TPM og brukes trygt fra et infisert system? Nøkkelen kan kanskje ikke kompromitteres i TPM men meldingene den signerer kan være kompromittert. Litt som å tyvlåne mobilen til noen..

barfoo skrev (1 time siden):

Du har åpenbart ikkje forstått korleis TPM eller smartkort fungerer, og korleis det beskytter mot andre  risikoer enn diskkryptering.

Jeg har aldri påstått at jeg behersker 100% av mulige bruksområder for TPM, derimot kjenner jeg til flere av dem ganske godt og er så langt ikke overbevist om PIN-kodens fortreffelighet.

barfoo skrev (1 time siden):

Men du treng ikkje bruke det i praksis. For min del er det kjappere å taste inn fire tegn enn tjue tegn.

Men du kan ikke *glemme* passordet. Eller kvitte deg med det totalt, selv om du sparer tastetrykk i det daglige. Ved å bruke PIN risikerer du jo å bruke passordet ditt så sjelden at du glemmer det.

barfoo skrev (1 time siden):

I tillegg slepp eg altså unike passord på ulike nettsider fordi FIDO/Webauthn/passkeys.

Hvordan virker dette? Hvor mange nettsteder støtter dette? Finnes det en eller flere godkjenningsinstanser? Lagres dine passkeys et sted? Kan det misbrukes om et nettsted hackes?

Jeg spør fordi jeg er oppriktig nysgjerrig, jeg har så langt klart meg uten dette. Siden mitt eksisterende opplegg åpenbart fortsatt virker lurer jeg på om dette vil gi meg noe ekstra.

[barfoo]

1 minute ago, Kahuna said:

Vil TPM-brikken beskytte deg om systemet er infisert? Hva slags nøkler kan lagres i TPM og brukes trygt fra et infisert system? Nøkkelen kan kanskje ikke kompromitteres i TPM men meldingene den signerer kan være kompromittert. Litt som å tyvlåne mobilen til noen..

Jepp - du sikrer deg ikkje mot misbruk, men du sikrer mot tjuveri. I tillegg vil malware trenge pinkoden for å få tilgang til TPM, og TPM kan ved hjelp av measured boot sikre systemet mot malware til en viss grad.

3 minutes ago, Kahuna said:

Jeg har aldri påstått at jeg behersker 100% av mulige bruksområder for TPM, derimot kjenner jeg til flere av dem ganske godt og er så langt ikke overbevist om PIN-kodens fortreffelighet.

I essens er TPM smartkort, og har smartkortets fordeler i dette scenarioet. Dvs. en ukopierbar dings som kan signere meldinger.

FDE derimot beskytter mot nøyaktig et scenario: at folk knabber disken mens systemet er avskrudd.

3 minutes ago, Kahuna said:

Men du kan ikke *glemme* passordet. Eller kvitte deg med det totalt, selv om du sparer tastetrykk i det daglige. Ved å bruke PIN risikerer du jo å bruke passordet ditt så sjelden at du glemmer det.

For alle praktiske formål? jo. Du kan skrive det på en lapp og legge lappen i skapet på jobb. Det blir backup, ikkje til daglig bruk. Og det er nettopp det som aukar sikkerheta - fordi du slepp å bruke det, og unngå dermed phishing-angrep (FIDO bruker URL som del av meldinga som blir signert, litt grovt sagt), og en del anna knask som følger med. 

[Kahuna]

barfoo skrev (55 minutter siden):

Jepp - du sikrer deg ikkje mot misbruk, men du sikrer mot tjuveri. I tillegg vil malware trenge pinkoden for å få tilgang til TPM, og TPM kan ved hjelp av measured boot sikre systemet mot malware til en viss grad.

Hvordan ser dette ut fra et brukerperspektiv? Blir du på et eller annet tidspunkt bedt om PIN-kode når du skal kjøpe noe på komplett eller ebay? Eller bare sende en mail?

[barfoo]

1 hour ago, Kahuna said:

Hvordan ser dette ut fra et brukerperspektiv? Blir du på et eller annet tidspunkt bedt om PIN-kode når du skal kjøpe noe på komplett eller ebay? Eller bare sende en mail?

Du blir spurt om det for autentisering av tenester som bruker det eller som du har konfigurert til å bruke det. Eg har ikkje brukt epostprogramvare som forventer autentisering for kvar epost, og ebay forventer vel heller ikkje autentisering for kjøp...

Kort sagt - det er innloggingsmekanisme.

[nomore]

Kahuna skrev (4 timer siden):

Hvordan ser dette ut fra et brukerperspektiv? Blir du på et eller annet tidspunkt bedt om PIN-kode når du skal kjøpe noe på komplett eller ebay? Eller bare sende en mail?

Dette fremstår som oppkonstruerte problemstillinger.

Hva tenker du er den enkleste brukeropplevelsen for de fleste - å skrive inn et 16+ langt passord med store og små bokstaver, tegn og tall hver gang du skal identifisere deg - eller en 4-6 sifret tallkode?

[Kahuna]

barfoo skrev (19 timer siden):

Du blir spurt om det for autentisering av tenester som bruker det eller som du har konfigurert til å bruke det. Eg har ikkje brukt epostprogramvare som forventer autentisering for kvar epost, og ebay forventer vel heller ikkje autentisering for kjøp...

Kort sagt - det er innloggingsmekanisme.

Så da kan malware ligge i browseren og gripe inn etter at du har logget på?

Jeg noen fikk treff med 'malware that target fido2'.

[Kahuna]

nomore skrev (16 timer siden):

Hva tenker du er den enkleste brukeropplevelsen for de fleste - å skrive inn et 16+ langt passord med store og små bokstaver, tegn og tall hver gang du skal identifisere deg - eller en 4-6 sifret tallkode?

Hvorfor skal du bare bruke passord? Om jeg får endret det(ikke alltid det er mulig) bruker jeg ansiktgjenkjenning eller fingeravtrykk. Så bruker jeg passord når maskinen bestemmer seg for at biometri ikke holder. Da bruker jeg passordet relativt sjeldent. 

[SpaceHog]

Kahuna skrev (1 time siden):

Hvorfor skal du bare bruke passord? Om jeg får endret det(ikke alltid det er mulig) bruker jeg ansiktgjenkjenning eller fingeravtrykk. Så bruker jeg passord når maskinen bestemmer seg for at biometri ikke holder. Da bruker jeg passordet relativt sjeldent. 

For å kunne bruke fingeravtrykk og ansiktsgjenkjenning må man først opprette PIN-kode (eng. Hello PIN). Og backup for biometrisk innlogging er Hello PIN, ikke passord.
Edit: Hvis man fjerner Hello PIN, deaktiveres alle Windows Hello-funksjoner, inkludert biometri som fingeravtrykk og ansiktsgjenkjenning.

Endret 26 minutter siden av SpaceHog

[nomore]

Kahuna skrev (30 minutter siden):

Hvorfor skal du bare bruke passord? Om jeg får endret det(ikke alltid det er mulig) bruker jeg ansiktgjenkjenning eller fingeravtrykk. Så bruker jeg passord når maskinen bestemmer seg for at biometri ikke holder. Da bruker jeg passordet relativt sjeldent. 

Forutsatt at vi snakker om Windows her, så er det passordet du snakker om opplåsing av TPM/Windows Hello, og der kunne du og ha valgt en tallkode (ofte omtalt som PIN) enn kombinasjon (omtalt som passord).

[barfoo]

55 minutes ago, Kahuna said:

Så da kan malware ligge i browseren og gripe inn etter at du har logget på?

Jeg noen fikk treff med 'malware that target fido2'.

Nei, på grunn av moderne kryptografi.