Windows Hello for Business（WHfB）とは｜2要素認証になる条件と成立しない場面

「Windows Helloで指紋認証にしているので、2要素認証は済んでいる」という認識は、正しい場合とそうでない場合があります。判断を分けるのはWindows Hello for Businessが何を1つ目の要素として数えているかです。この記事では、どの条件下なら2要素として成立し、どの場面で成立しないのかを整理します。

認証の要素という考え方そのものは2段階認証と2要素認証の違い、生体認証を業務PCに使う際の運用面は生体認証でのPCログインで扱っています。本記事はWindows Hello for Businessが2要素の要件を満たすかどうかの判断に絞ります。実際に入れるときの前提条件・構成の選び方・展開手順はWindows Hello for Businessを多要素認証として導入する手順で扱っています。

Windows Hello for Businessが2要素として数えているもの

Windows Hello for Businessは、指紋や顔そのものをネットワーク越しに送って照合する仕組みではありません。仕組みを要素に分解すると、次の2つを組み合わせています。

• 所持の要素 — その端末そのもの。認証に使う鍵が端末内の保護された領域に格納され、その端末からしか使えません
• 知識または生体の要素 — PINまたは指紋・顔。端末内の鍵を使うための解錠手段です

つまり「登録済みの端末を持っていること」＋「本人であること(またはPINを知っていること)」という構成です。ここを理解すると、なぜPINが2要素認証の一部として扱われるのかが説明できます。単なる短いパスワードに見えますが、PINはその端末の外では一切使えないため、パスワードとは性質が異なります。パスワードは盗まれれば別の端末から使えますが、PINだけを盗んでも端末がなければ何もできません。

2要素として成立する条件

上記の構成が機能するには、前提条件があります。以下がすべて満たされている場合、Windows Hello for Businessは2要素認証として成立します。

• Active DirectoryまたはMicrosoft Entra IDによる組織的な管理下にある — Windows Hello for Businessは組織のID基盤と連携して鍵を発行する仕組みです。基盤がなければ組織として管理された状態になりません
• 端末が1人に割り当てられている — 「その端末を持っていること」が要素として成立する前提です
• 従来のパスワードによるログインが併存していない — Helloを設定してもパスワードでログインできる状態が残っていれば、攻撃者はパスワード側を使います

3つ目は特に見落とされます。Helloはログイン手段の追加として導入されるため、既存のパスワード認証が無効化されていなければ、実際に守られている水準はパスワード1要素のままです。導入後は「Helloを設定したか」ではなく「パスワードでログインできない状態になっているか」を確認する必要があります。

2要素として成立しない4つの場面

1. Active Directory・Entra IDを導入していない

ローカルアカウント運用の環境で使えるのは、組織向けのWindows Hello for Businessではなく個人向けのWindows Helloです。この場合、鍵の発行や失効を組織側で管理できないため、退職者の端末で認証が有効なまま残っていても組織から止められません。ID管理方式ごとの管理範囲の違いは社用WindowsのID管理方式で整理しています。

2. 共用PC・複数人で使う端末

「その端末を持っていること」が本人性を示さないため、所持の要素が機能しません。全員が同じ端末に自分のHelloを登録している状態は、端末の前に立てる人であれば誰でも自分の資格情報で入れるという意味であり、端末を要素として数える根拠が失われます。共用端末の認証設計は共有アカウント(共用ID)はなぜ危険かも参照してください。

3. 生体センサーが読み取れない環境

手袋の着用が必要な現場、マスクや保護具で顔認証が通らない環境では、実運用でPINへのフォールバックが常態化します。PIN＋端末でも2要素の構成自体は維持されますが、PINは肩越しに見られやすく、共用の作業スペースでは実質的な強度が落ちます。読み取れない場合の代替手段の設計は生体認証でのPCログインで扱っています。

4. 端末そのものを信頼できない場合

持ち出し端末が盗まれ、かつPINが推測または観察されていた場合、2つの要素が同時に攻撃者の手に渡ります。端末に要素を集約する方式は、端末を失うと両方を失うという性質を持ちます。物理的に分離された認証キーを併用する方式と比べて、この点が構造的な違いです。持ち出し端末の考え方は社用ノートPC・SurfaceのID管理を参照してください。

リモートデスクトップ接続では扱いが変わる

Windows Hello for Businessは端末に紐づく仕組みであるため、リモートデスクトップ経由のログオンでは、手元の端末の生体認証がそのまま接続先の認証になるとは限りません。接続先のサーバーやPCに対しては別の認証が行われるため、社内サーバーへのRDP接続が守られているかは個別に確認が必要です。接続経路ごとの適用範囲はリモートデスクトップ(RDP)の2要素認証で整理しています。

判断の順序

自社でWindows Hello for Businessが要件を満たすかは、次の順で確認すると判断できます。

• AD／Entra IDによる管理下にあるか — なければ組織的な2要素認証としては成立しません
• パスワードによるログインを無効化できるか — 残るなら実質はパスワード1要素です
• 対象端末が1人1台か — 共用端末が混在するなら、その範囲は別方式が必要です
• RDPやサーバーへのログオンも対象に含めるか — 含めるなら別途の確認が必要です

この4点のうち1つでも満たせない範囲があるなら、その範囲に限って別の方式を組み合わせる形が現実的です。全社を1つの方式で統一する必要はなく、端末の使われ方ごとに分けて設計するほうが運用は安定します。組み合わせる方式の選択肢はWindows/Windows Server OSログインの二要素認証で整理しています。私物スマホを使えない職場の場合はスマホを使わない2要素認証も参考になります。

自社の環境で何が足りないかを確認する

Windows Helloで足りるのか、別の方式を組み合わせるべきなのかは、ID基盤の有無と端末の使われ方によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社のPCログイン対策の状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。