Turbevõtmed võivad pärast 2025. aasta septembri Windowsi eelvaate värskenduse installimist nõuda PIN-koodi

Värskendatud kasutuskogemus

Pärast Windowsi värskenduse installimist 29. septembril 2025 – KB5065789 (operatsioonisüsteemi järgud 26200.6725 ja 26100.6725) eelvaade või uuemad värskendused võidakse teilt nõuda TURBEvõtmega sisselogimiseks PIN-koodi loomist isegi siis, kui PIN-koodi ei nõuta või see määrati esmase registreerimise käigus.

See käitumine ilmneb siis, kui vahendav osapool (RP) või identiteedipakkuja (IDP) taotleb User Verification = Preferred kiire IDentity Online 2 (FIDO2) turbevõtmega, millel pole PIN-koodi määratud.

Põhjus

See on kavandatud käitumine, mida rakendatakse, et see jääks WebAuthn-i spetsifikatsioonidele vastavaks.

Selle käitumise tugi hakkas järk-järgult Windows 11 seadmetele kättesaadavaks pärast 29. septembri 2025 eelvaatevärskenduse (KB5065789) installimist. Väljaandmine viidi Windows 11 klientides lõpule pärast Windowsi turbevärskenduse installimist, 11. november 2025 – KB5068861 (operatsioonisüsteemi järgud 26200.7171 ja 26100.7171) või uuemad värskendused.

Need värskendused lisasid toe turvavõtmete PIN-koodi häälestamiseks, kui seda ei häälestatud, kui vahendava osapooled (RP) määrasid WebAuthni autentimisvoo jaotises PublicKeyCredentialRequestOptions väärtuseks "userVerification" (eelistatud).

Taust

Kasutaja kontrollimine (UV) kinnitab, et kasutaja on kohal ja volitatud kasutama turvavõtit, tavaliselt PIN-koodi või biomeetrilise koodi kaudu. Kasutaja kontrollimise saab määrata Discouraged, Preferredvõi Required. 

User Verification = Preferred tähendab, et RP soovib kasutaja kontrollimist, kui autentimisfunktsioon on võimeline seda tegema. See tähendab, et kui PIN-koodi tuleb häälestada, peaks platvorm seda tegema.

User Verification = Discouraged tähendab, et RP ei soovi kasutaja kontrollimist. Kui PIN-koodi pole häälestatud, pole seda vaja teha (v.a juhul, kui seda nõuab autentimise konfiguratsioon).

Pin-koodi häälestamise tugi autentimisvoo jaoks lisati nii registreerimise kui ka autentimise voogudes ühtlaseks.

Uued toimingud

Kui vahendav osapool ei soovi kasutajate kontrollimist ja ei soovi, et kasutajad looks või sisestaksid turvavõtmete PIN-koodi, peaksid nad seadma PublicKeyCredentialRequestOptionsi sätte "userVerification" väärtuseks "discouraged".