Beveiligingssleutels vereisen mogelijk een pincode na installatie van de Windows Preview-update van september 2025

Bijgewerkte ervaring

Na de installatie van de Windows-update , 29 september 2025, KB5065789 (OS-builds 26200.6725 en 26100.6725) Preview, of latere updates, moet u mogelijk een pincode maken om u aan te melden met een beveiligingssleutel, zelfs als er geen pincode is vereist of ingesteld tijdens de eerste registratie.

Dit gedrag treedt op wanneer een Relying Party (RP) of IDP (Identity Provider) User Verification = Preferred aanvraagt tijdens verificatie met een Fast IDentity Online 2-beveiligingssleutel (FIDO2) waarvoor geen pincode is ingesteld.

Oorzaak

Dit is bedoeld gedrag, geïmplementeerd om compatibel te blijven met WebAuthn-specificaties.

Ondersteuning voor dit gedrag begon geleidelijk uit te rollen naar Windows 11 apparaten na de installatie van de preview-update (KB5065789) van 29 september 2025. De implementatie is voltooid op Windows 11 clients na de installatie van de Windows-beveiligingsupdate, 11 november 2025, KB5068861 (OS-builds 26200.7171 en 26100.7171) of latere updates.

Deze updates hebben ondersteuning toegevoegd voor het instellen van een pincode voor beveiligingssleutels als deze nog niet was ingesteld, toen Relying Parties (RP) 'userVerification' instelt op 'preferred' in PublicKeyCredentialRequestOptions in webauthn-verificatiestroom.

Achtergrond

Gebruikersverificatie (UV) bevestigt dat de gebruiker aanwezig is en gemachtigd is om een beveiligingssleutel te gebruiken, meestal via een pincode of biometrische gegevens. Gebruikersverificatie kan worden ingesteld op Discouraged, Preferredof Required. 

User Verification = Preferred betekent dat de RP gebruikersverificatie wil als de verificator daartoe in staat is. Dit betekent dat als er een pincode moet worden ingesteld, het platform dit moet doen.

User Verification = Discouraged betekent dat de RP geen gebruikersverificatie wil. Als er geen pincode is ingesteld, hoeft u dit niet te doen (tenzij vereist door de verificatorconfiguratie).

Ondersteuning voor het instellen van pincodes in de verificatiestroom is toegevoegd om consistent te zijn in zowel registratie- als verificatiestromen.

Nieuwe stappen

Als de Relying Party geen gebruikersverificatie wil en niet wil dat gebruikers een pincode voor beveiligingssleutels maken of invoeren, moeten ze 'userVerification' instellen op 'ontmoedigd' in PublicKeyCredentialRequestOptions.