Alkuperäinen julkaisupäivä: 25. marraskuuta 2025
KB-tunnus: 5073129
Päivitetty käyttökokemus
Kun olet asentanut Windows-päivityksen 29.9.2025 – KB5065789 (käyttöjärjestelmän koontiversiot 26200.6725 ja 26100.6725) esikatselu tai uudemmat päivitykset, sinun on ehkä luotava PIN-koodi, jotta voit kirjautua sisään suojausavaimella, vaikka PIN-koodia ei tarvittaisiin tai asetettaisiin ensimmäisen rekisteröinnin aikana.
Tämä tapahtuu, kun Luottava osapuoli (RP) tai tunnistetietojen toimittaja (IDP) pyytää User Verification = Preferred todennuksen aikana nopean IDentity Online 2 (FIDO2) -suojausavaimen avulla, jolla ei ole PIN-koodia.
Syy
Tämä on tarkoitettu toiminnaksi, joka on toteutettu webauthn-määritysten vaatimustenmukaisuuden säilyttämiseksi.
Tämän toiminnan tuki alkoi vähitellen ottaa käyttöön Windows 11 laitteissa 29. syyskuuta 2025 julkaistun esikatselupäivityksen (KB5065789) asentamisen jälkeen. Käyttöönotto suoritettiin Windows 11 asiakasohjelmissa Windowsin suojauspäivityksen ( 11. marraskuuta 2025 – KB5068861 (käyttöjärjestelmän koontiversiot 26200.7171 ja 26100.7171) tai uudempien päivitysten asentamisen jälkeen.
Nämä päivitykset lisäsivät tuen PIN-koodin määrittämiselle suojausavaimille, jos sitä ei vielä määritetty, kun Relying Parties (RP) asetti userVerification-asetuksenensisijaiseksiPublicKeyCredentialRequestOptions-sovelluksessa WebAuthn-todennuksenkulussa.
Tausta
Käyttäjän tarkistaminen (UV) vahvistaa, että käyttäjä on paikalla ja että hänellä on oikeus käyttää suojausavainta, yleensä PIN-koodin tai biometrisen koodin avulla. Käyttäjän vahvistuksen arvoksi voidaan määrittää Discouraged, Preferredtai Required.
User Verification = Preferred tarkoittaa, että RP haluaa käyttäjän vahvistuksen, jos todentaja pystyy siihen. Tämä tarkoittaa sitä, että jos PIN-koodi on määritettävä, ympäristön pitäisi tehdä niin.
User Verification = Discouraged tarkoittaa, että RP ei halua käyttäjän vahvistusta. Jos PIN-koodia ei ole määritetty, sitä ei tarvitse tehdä (ellei todentajakokoonpano sitä edellytä).
Pin-koodin määrittämisen tuki todennuskulussa lisättiin yhdenmukaiseksi sekä rekisteröinti- että todennusvirtojen osalta.
Uudet vaiheet
Jos Luottava osapuoli ei halua käyttäjän vahvistusta eikä halua käyttäjien luovan tai kirjoittavan PIN-koodia suojausavaimille, heidän on määritettävä UserVerification-asetukseksi "lannistava" PublicKeyCredentialRequestOptions-sovelluksessa.
