Data di pubblicazione originale: 25 novembre 2025
ID KB: 5073129
Esperienza aggiornata
Dopo aver installato l'aggiornamento di Windows, 29 settembre 2025 - KB5065789 (build del sistema operativo 26200.6725 e 26100.6725) Anteprima o aggiornamenti successivi, potrebbe essere necessario creare un PIN per accedere con una chiave di sicurezza, anche se non è stato richiesto o impostato un PIN durante la registrazione iniziale.
Questo comportamento si verifica quando una relying party (RP) o un provider di identità (IDP) richiede User Verification = Preferred durante l'autenticazione con una chiave di sicurezza FAST IDentity Online 2 (FIDO2) che non ha un PIN impostato.
Causa
Si tratta di un comportamento previsto, implementato per rimanere conforme alle specifiche WebAuthn.
Il supporto per questo comportamento è iniziato gradualmente per i dispositivi Windows 11 dopo l'installazione dell'aggiornamento di anteprima del 29 settembre 2025 (KB5065789). L'implementazione è stata completata nei client Windows 11 dopo l'installazione dell'aggiornamento della sicurezza di Windows, dell'11 novembre 2025, KB5068861 (build del sistema operativo 26200.7171 e 26100.7171) o aggiornamenti successivi.
Questi aggiornamenti hanno aggiunto il supporto per la configurazione di un PIN per le chiavi di sicurezza se non era già stato configurato, quando Relying Parties (RP) ha impostato "userVerification" su "preferred" in PublicKeyCredentialRequestOptions nel flusso di autenticazione WebAuthn.
Contesto
La verifica dell'utente (UV) conferma che l'utente è presente e autorizzato a utilizzare una chiave di sicurezza, in genere tramite pin o biometrico. Verifica utente può essere impostata su Discouraged, Preferredo Required.
User Verification = Preferred significa che il RP vuole la verifica dell'utente se l'autenticatore è in grado di farlo. Questo significa che se è necessario configurare un PIN, la piattaforma deve farlo.
User Verification = Discouraged significa che il RP non vuole la verifica dell'utente. Se non è stato configurato un PIN, non è necessario farlo, a meno che non sia richiesto dalla configurazione di autenticazione.
Il supporto per la configurazione del PIN nel flusso di autenticazione è stato aggiunto per garantire la coerenza tra i flussi di registrazione e autenticazione.
Nuovi passaggi
Se la Relying Party non desidera la verifica dell'utente e non vuole che gli utenti creino o immettono un PIN per le chiavi di sicurezza, devono impostare "userVerification" su "discouraged" in PublicKeyCredentialRequestOptions.
