Cómo implementar Windows Hello para empresas con Cloud Trust

La autenticación multifactor es prácticamente el estándar hoy en día, pero para nuestros dispositivos Windows, la mayoría de nosotros todavía usamos solo un nombre de usuario y contraseña. El problema con las contraseñas seguras es que a veces son difíciles de recordar y los usuarios suelen reutilizarlas en varios sitios. Windows Hello para empresas reemplaza las contraseñas con autenticación de dos factores en sus dispositivos Windows.

Al autenticarnos con Windows Hello for Business podemos utilizar la biometría (huella digital o reconocimiento facial) o el inicio de sesión con código PIN. Esto, combinado con el chip TPM integrado en su dispositivo, brinda un inicio de sesión de dos factores. Incluso podemos extender esto a múltiples factores con la ayuda de señales confiables.

En este artículo, veremos cómo funciona Windows Hello para empresas, cómo implementarlo y cómo configurar el desbloqueo multifactor (recomendado).

Windows Hello para empresas: la base

Windows Hello para empresas (WHfB) reemplaza la necesidad de contraseñas seguras y difíciles de recordar con autenticación de dos factores en sus dispositivos. La autenticación se realiza mediante datos biométricos o PIN y está vinculada al dispositivo. Esto significa que Windows Hello para empresas debe configurarse en cada dispositivo que utilice el usuario.

La autenticación de dos factores se crea por algo que el usuario sabe o es (el PIN o Biométrico) y algo que el usuario tiene, la clave generada por el chip TPM en el dispositivo. La combinación de ambos se envía al proveedor de identidad, Azure AD, para el token de autenticación.

Windows Hello para empresas puede incluso ampliarse a una verdadera autenticación multifactor mediante el uso de desbloqueo dinámico. El desbloqueo dinámico le permite combinar PIN/biometría con, por ejemplo, señales confiables, como la señal Bluetooth de su teléfono o información de red.

Esto nos permite crear un escenario en el que un usuario puede iniciar sesión solo con el sensor de huellas dactilares en el trabajo (una ubicación confiable), pero necesita tener su teléfono cerca o ingresar su PIN como segundo factor cuando trabaja en una cafetería.

PIN frente a contraseña

Una pregunta que se hace a menudo es ¿cómo es que el PIN es más seguro que una contraseña? El PIN que utiliza para Windows Hello para empresas solo puede existir a partir de números y tiene una longitud mínima predeterminada de 6 caracteres. Entonces, una contraseña segura suena más segura, ¿verdad?

La diferencia entre los dos es que la contraseña se puede usar en cualquier dispositivo o incluso en línea en el caso de Microsoft 365. Sin embargo, el PIN está vinculado a un dispositivo específico, por lo que cuando alguien conoce su PIN, aún necesita tener acceso. a su dispositivo para poder iniciar sesión en su cuenta.

Ahora bien, el problema sólo con el PIN es que puede ser robado fácilmente navegando desde el hombro. Cuando dejas tu computadora desatendida por un momento, alguien podría acceder a tu dispositivo de esta manera. Una buena forma de mitigar este riesgo es utilizar el desbloqueo multifactor. Esto utiliza señales confiables, por ejemplo, el Bluetooth de su teléfono móvil, para verificar que es usted quien está iniciando sesión.

Es bueno saber que no se permiten números PIN simples. Windows Hello para empresas utiliza un algoritmo para comprobar si hay un delta constante entre un dígito y el siguiente. Esto evita el uso de patrones repetitivos, secuenciales y simples. Por ejemplo, los siguientes patrones de PIN no están permitidos:

• 1111

• 1234

• 1357

• 9630

• 1593

Implementación de la confianza en la nube híbrida

Cuando tiene un entorno híbrido, Active Directory local y Azure AD, Cloud Trust es la forma recomendada por Microsoft para implementar Windows Hello para empresas. Implementar Windows Hello para empresas es mucho más fácil con Cloud Trust, en comparación con los métodos antiguos de Key Trust o Certificate Trust.

Para implementar Cloud Trust, configuraremos Azure AD Kerberos mediante PowerShell. Para implementarlo en los dispositivos usaremos Políticas de grupo.

Requisitos

Para utilizar el nuevo método Cloud Trust debes asegurarte de cumplir con los siguientes requisitos:

• Autenticación multifactor habilitada

• Al menos Windows 10 21H2 o Windows 11

• Controlador de dominio Windows Server 2016 o posterior completamente parcheado

Creación del objeto del servidor Kerberos de Azure AD

El primer paso es habilitar Azure AD Kerberos en nuestro dominio. Esto creará un objeto Controlador de dominio de solo lectura en su Active Directory y se utilizará para generar TGT (ticket-granting-tickets) para la autenticación local. Si desea saber más sobre cómo funciona esto, asegúrese de leer este análisis técnico profundo en Microsoft.

Es posible que ya haya implementado Azure AD Keberos si utiliza SSON sin contraseña en su entorno. En ese caso, no es necesario volver a implementarlo.

Para instalar Azure AD Kerberos, usaremos PowerShell. Asegúrese de tener una cuenta de administrador global para Azure AD y una cuenta de administrador de dominio para su AD local.

1. En su controlador de dominio, abra Windows PowerShell (Administrador)

2. Instale el módulo PowerShell de Azure AD Keberos:

# Ensure TLS 1.2 for PowerShell gallery access.
[Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12

# Install the module
Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber

A continuación, vamos a crear el objeto del servidor Kerberos. Para esto necesitaremos cuentas de administrador para que creemos el objeto en Active Directory y verifiquemos nuestro inquilino. Si está ejecutando los comandos de PowerShell en el controlador de dominio, no necesita ingresar las credenciales de administrador local (consulte el Ejemplo 2 a continuación).

Supongo que está utilizando la autenticación moderna para su entorno de Azure AD; de lo contrario, asegúrese de configurarla. Con el método siguiente se le solicitará la autenticación, lo que le permitirá utilizar su autenticación multifactor.

# Get your domain
$domain = $env:USERDNSDOMAIN

# Enter a domain administrator username and password.
$domainCred = Get-Credential

# UserPrincipalName of an Azure AD Global Administrator
$userPrincipalName = "[email "

# Create the new Azure AD Kerberos Server object in Active Directory
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential $domainCred

Ejemplo 2: ejecutar el script en el controlador de dominio:

# Get your domain
$domain = $env:USERDNSDOMAIN

# UserPrincipalName of an Azure AD Global Administrator
$userPrincipalName = "[email "

# Create the new Azure AD Kerberos Server object in Active Directory
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName

Una vez completado, encontrará el objeto de computadora AzureADKerberos en su Active Directory en la unidad organizativa del controlador de dominio:

También podemos verificar la configuración con PowerShell, pero es posible que necesites autenticarte nuevamente para ver los detalles:

Get-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName

Configurar Windows Hello para empresas con políticas de grupo

En un entorno híbrido, podemos utilizar Políticas de grupo para configurar Windows Hello for Business en los dispositivos. Debido a que utilizamos el método Cloud Trust, solo podemos usar los ajustes de configuración de la computadora. Esto significa que la política debe asignarse a las computadoras y no a los usuarios.

1. En la Gestión de políticas de grupo cree una nueva política, por ejemplo, CPO_Enable_WHfB

2. Edite la política y navegue a:
   Política > Plantillas administrativas > Componentes de Windows > Windows Hola para empresas

3. Habilite las siguientes configuraciones

   • Utilice la confianza en la nube para la autenticación local

   • Utilice un dispositivo de seguridad de hardware

Estas tres configuraciones son la base que necesita para utilizar Windows Hello para empresas en un entorno híbrido. Asegúrese de asignar la política primero a una unidad organizativa con computadoras de prueba. Para la implementación, puede habilitar la opción "No iniciar el aprovisionamiento de Windows Hello después de iniciar sesión" en la configuración Usar Windows Hello para empresas. De esta manera, a los usuarios no se les preguntará inmediatamente después de iniciar sesión y les permitirá configurarlo cuando les convenga.

Pruebas

Con la política configurada y asignada a una unidad organizativa con computadoras, es hora de probar la implementación de Windows Hello para empresas. El primer paso es asegurarse de que las políticas más recientes estén cargadas en el cliente. Puede forzar la actualización con el comando GPUpdate o verificar el estado con RSOP.

Nota

Los usuarios que sean miembros del grupo Operadores de cuentas, servidores, copias de seguridad o de impresión en Active Directory no podrán utilizar WHfB. Estos grupos están protegidos por AdminSDHolder y tienen el atributo adminCount establecido en 1. Por diseño, algunos atributos de estas cuentas no se sincronizarán con Azure AD.

Si dejó desactivada la opción "No iniciar el aprovisionamiento de Windows Hello después de iniciar sesión", la próxima vez que inicie sesión en la computadora se le solicitará la pantalla de configuración de Windows Hello.

Después de configurar la huella digital, debes agregar un PIN. El PIN siempre es necesario, se puede utilizar en caso de que el sensor de huellas dactilares no funcione o como segundo factor de autenticación en el escenario de desbloqueo multifactor.

El usuario primero deberá completar la solicitud MFA para autenticar su identidad. Después de la solicitud de MFA, podemos configurar el PIN.

Después de haber configurado el método de inicio de sesión de Windows Hello para empresas en su dispositivo, pueden pasar hasta 30 minutos para que funcione. El motivo es que la herramienta Azure AD Connect primero necesita sincronizar los atributos necesarios. Puede forzar una sincronización de Azure AD con el siguiente comando de PowerShell en el servidor donde está instalado el cliente de Azure AD Connect:

Start-ADSyncSyncCycle -PolicyType Delta

También puede verificar si la clave está sincronizada con su Active Directory verificando que el atributo msDS-KeyCredentialLink esté en la cuenta del usuario.

Bloqueo dinámico

Al implementar Windows Hello para empresas en su inquilino, realmente recomiendo configurar también Dynamic Lock. Desde el punto de vista de la seguridad, los usuarios deberían bloquear sus computadoras cuando se alejan de su escritorio. Dejar una computadora desbloqueada es un riesgo para la seguridad, alguien podría obtener acceso a información confidencial o sensible a la privacidad. También evita que personas no autorizadas alteren los datos.

Para la mayoría de los usuarios, bloquear la computadora no es un problema, simplemente presione la tecla de Windows + L. Pero desbloquearlo con una contraseña larga y segura es lo que frena a los usuarios. Pero ya no debería ser un problema ahora que hemos implementado que los usuarios pueden desbloquear su computadora con un solo toque del sensor de huellas digitales.

El bloqueo dinámico utiliza la señal Bluetooth del teléfono móvil del usuario para determinar si el usuario está cerca de la computadora o no. Cuando la señal se vuelve demasiado débil, bloqueará la computadora si está inactiva.

Nota

El bloqueo dinámico solo bloquea la computadora cuando se pierde la señal de Bluetooth y la computadora está inactiva. Esto significa que si alguien obtiene acceso antes de que el sistema se bloquee, la computadora simplemente no se bloqueará. Por lo tanto, la función de bloqueo dinámico no reemplaza el hecho de que el usuario bloquee la computadora. Solo reduce el cambio cuando el usuario olvida bloquearlo.

Habilitación del bloqueo dinámico con política de grupo

Para habilitar el bloqueo dinámico, primero debemos cambiar la política que creamos anteriormente:

1. En la Administración de políticas de grupo edite la política de Windows Hello para empresas

2. Vaya a:
   Política > Plantillas administrativas > Componentes de Windows > Windows Hello para empresas

3. Habilite la configuración: Configurar factores de bloqueo dinámico

En la configuración de la política, verá la regla de señal para el bloqueo dinámico. Contiene el siguiente valor predeterminado:

<rule schemaVersion="1.0"> <signal type="bluetooth" scenario="Dynamic Lock" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/> </rule> 

Se recomienda utilizar la regla predeterminada, pero también es bueno saber cómo funciona y qué opciones tiene. Así que echemos un vistazo más de cerca a la regla XML. Para la funcionalidad de bloqueo dinámico, necesitamos usar un dispositivo Bluetooth, que se establece mediante el atributo Type y el escenario es Dinámico Bloquear. Estos dos no se pueden cambiar.

De forma predeterminada, Windows observará la señal Bluetooth de su teléfono, que se indica mediante el valor del atributo classOfDevice 512. Para las clases de dispositivos también hay otras opciones disponibles. Básicamente, puedes usar cualquier dispositivo Bluetooth que puedas emparejar con Windows, pero los más comunes son:

Phone

512

Peripheral

1280

Wearable

1792

Uncategorized

7936

Los dos últimos atributos, rssiMin y rssiMaxDelta, dicen algo sobre la intensidad de la señal. rssiMin indica la intensidad de la señal necesaria para que el dispositivo se considere dentro del alcance. El valor predeterminado de -10 permite al usuario moverse en una oficina de tamaño medio sin bloquear el dispositivo. rssiMaxDelta determina cómo debe bloquearse Windows una vez que la intensidad de la señal se pierde en más de -10.

Emparejamiento de su teléfono con Windows

Para que el bloqueo dinámico funcione, los usuarios deberán emparejar su teléfono con Windows. El emparejamiento de Bluetooth no es realmente difícil, simplemente abra Inicio y escriba Bluetooth. Esto mostrará la opción Bluetooth y otros dispositivos donde puede agregar un dispositivo Bluetooth. Empareje su teléfono para que funcione el bloqueo dinámico.

Puede verificar el bloqueo dinámico en el dispositivo cliente abriendo Configuración > Cuentas> Opciones de inicio de sesión. Desplácese un poco hacia abajo y verá que el bloqueo dinámico está habilitado y emparejado con su teléfono.

Desbloqueo multifactor

Al iniciar sesión en Windows normalmente utilizamos un inicio de sesión de un solo factor, contraseña, PIN o huella digital. Como se mencionó al principio, especialmente el PIN es fácil de comprometer al navegar por el hombro. Pero las contraseñas también pueden verse comprometidas. Un atacante podría obtener acceso a su sistema con estas credenciales robadas.

Con Windows Hello for Business podemos añadir un factor adicional al desbloqueo de Windows. Para el segundo factor, deberá utilizar un proveedor de credenciales diferente y luego el primer desbloqueo. Una opción adicional que utilizamos es la señal confiable (más sobre las señales confiables más adelante). De forma predeterminada, el PIN y las señales de confianza se utilizan para el segundo factor de desbloqueo.

Para configurar el desbloqueo multifactor, usaremos políticas de grupo. Podemos determinar qué proveedores de credenciales (PIN, huella digital, reconocimiento facial, señal confiable) queremos usar como primer y segundo factor de desbloqueo. Estos proveedores de credenciales se indican con GUID:

Habilitar desbloqueo multifactor

Para habilitar el desbloqueo multifactor en Windows Hello for Business tendremos que editar la política de grupo una vez más.

1. En la Administración de políticas de grupo edite la política de Windows Hello para empresas

2. Vaya a:
   Política > Plantillas administrativas > Componentes de Windows > Windows Hello para empresas

3. Habilite la configuración: Configurar factores de desbloqueodinámicos

La configuración predeterminada para el desbloqueo dinámico (desbloqueo multifactor) es la siguiente. Para el primer desbloqueo, puede utilizar los siguientes proveedores de credenciales:

• PIN- {D6886603-9D2F-4EB2-B667-1971041FA96B}

• Huella digital- {BEC09223-B018-416D-A0AC-523971B639F5}

• Reconocimiento facial: {8AF662BF-65A0-4D0A-A540-A338A999D36F}

Y para el segundo factor de desbloqueo, puedes usar de forma predeterminada:

• Señal confiable: {27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}

• PIN- {D6886603-9D2F-4EB2-B667-1971041FA96B}

Ambos se configuran en la configuración de la política utilizando los GUID que están separados por comas:

# First unlock
{D6886603-9D2F-4EB2-B667-1971041FA96B},{8AF662BF-65A0-4D0A-A540-A338A999D36F},{BEC09223-B018-416D-A0AC-523971B639F5}

# Second unlock
{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD},{D6886603-9D2F-4EB2-B667-1971041FA96B}

Si también desea agregar el reconocimiento facial como segundo factor de desbloqueo, simplemente puede agregar el GUID a la lista:

# Trusted signal, PIN, Facial recognition
{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD},{D6886603-9D2F-4EB2-B667-1971041FA96B},{8AF662BF-65A0-4D0A-A540-A338A999D36F}

Señales confiables

La opción más común para el segundo factor de desbloqueo es Trusted Signal. La idea detrás de esto es medir si el usuario está cerca del dispositivo Windows, en función de la señal Bluetooth del teléfono o de los dispositivos portátiles. O verifica si el dispositivo Windows está en una red confiable.

La señal Bluetooth del teléfono es la opción predeterminada. Al igual que con Dynamic Lock, tenemos un archivo XML de una sola línea donde podemos configurar el tipo de señal y la clase de dispositivo.

<rule schemaVersion="1.0"> <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/> </rule> 

Ahora Bluetooth funciona muy bien en la mayoría de los casos de uso, especialmente en combinación con la función de bloqueo dinámico. Pero Bluetooth no siempre es una opción. Las computadoras de escritorio a menudo no tienen un adaptador Bluetooth o los usuarios no quieren emparejar su móvil (privado) con el dispositivo de la empresa. Otra opción para la señal confiable es verificar el entorno de red del dispositivo.

Por ejemplo, cuando el dispositivo está en la oficina o conectado a una red inalámbrica conocida, podemos satisfacer la señal confiable según la red o los detalles de la red inalámbrica. Podemos, por ejemplo, comprobar el rango de IP, el nombre de la red inalámbrica (SSID), la dirección mac del punto de acceso o el sufijo DNS. Consulta la documentación para conocer todas las opciones posibles.

Es bueno saber que puedes usar varias reglas juntas, por lo que puedes verificar la señal de Bluetooth o los detalles de la red. Y cuando se trata de verificar la red, puedes utilizar múltiples condiciones.

Ejemplos de señales confiables

Ahora no voy a explicar todas las opciones posibles que hay para la señal ipConfig y Wifi, pero te daré algunos ejemplos de uso común para la señal confiable.

Nota

La configuración XML debe ser un xml de una sola línea. Utilice un minificador XML para compactar su XML en una sola línea. ¡Asegúrate de tener solo 1 línea!

En el primer ejemplo, verificaremos la señal confiable mediante el dnsSuffix de la configuración IP o la señal Bluetooth. Tenga en cuenta que las dos reglas están separadas por una coma. Ahora el código siguiente no está minimizado, por lo que antes de poder usarlo deberás minimizarlo.

<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <dnsSuffix>lazyadmin.nl</dnsSuffix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0">
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Copie y pegue el código en XML Beautifier y presione Minify XML. Tenga en cuenta que en el resultado, todavía tenemos 2 líneas, no una. Coloque el cursor detrás de la coma en la línea 1 y presione la tecla Eliminar. Esto colocará el XLM en una sola línea.

El resultado XML debería verse como el siguiente antes de agregar la configuración de política:

<rule schemaVersion="1.0"><signal type="ipConfig"><dnsSuffix>lazyadmin.nl</dnsSuffix></signal></rule>,<rule schemaVersion="1.0"><signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/></rule>

También puede verificar dos o más reglas usando el elemento AND. Por ejemplo, queremos comprobar el nombre de la red inalámbrica (SSID) y el rango de IP. Tenga en cuenta el elemento AND debajo del elemento de regla. En este caso, el dispositivo necesita estar conectado a una red inalámbrica lazywifi y tener una dirección IP asignada en el rango 192.168.0.x

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
    <ipv4Prefix>192.168.0.0/24</ipv4Prefix>
  </signal> 
  <signal type="wifi">
    <ssid>lazywifi</ssid> 
  </signal>
</and>
</rule>

Si tiene varias oficinas, probablemente desee comprobar si hay diferentes configuraciones de red. En estos casos, asegúrese de crear una regla para cada entorno de red, por ejemplo:

<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <ipv4Prefix>172.16.10.0/24</ipv4Prefix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <ipv4Prefix>172.16.30.0/24</ipv4Prefix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0">
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Solución de problemas

La configuración de la señal confiable puede requerir un poco de prueba y error para que funcione perfectamente. Tenga en cuenta que los cambios de política pueden tardar algún tiempo en reflejarse en el cliente. Así que asegúrese de verificar si se aplica la configuración más reciente utilizando la utilidad RSOP. Durante mis propias pruebas, noté que las señales de la red inalámbrica no funcionaban de manera confiable. Algunos clientes no pudieron satisfacer el factor adicional aunque estaban conectados a la red inalámbrica correcta.

Al solucionar problemas de Windows Hello para empresas en un cliente, asegúrese de utilizar el visor de eventos. Proporciona una visión perfecta de qué proveedores de credenciales utiliza WHfB y si hubo algún problema. Encontrará los eventos en el visor de eventos en:
Registros de aplicaciones y servicios > Microsoft > Windows > HelloForBusiness > Operacional

Cuando utilice el Desbloqueo multifactor o también conocido como Desbloqueo dinámico, encontrará dos eventos en el visor de eventos. El primer evento es el desbloqueo del primer factor. En el siguiente ejemplo, vemos que he utilizado Fingerprint- {BEC09223-B018-416D-A0AC-523971B639F5} como credenciales. El GUID figura en el Grupo A, por lo que podemos utilizarlo correctamente.

Unos segundos más tarde vemos el segundo evento del factor de desbloqueo. Aquí hemos utilizado una señal confiable {27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}, que figura como proveedor en el Grupo B.

Conclusión

Implementar Windows Hello para empresas con Cloud Trust es bastante fácil en comparación con los métodos anteriores. Asegúrese de probar minuciosamente la implementación antes de implementarla en su organización. He visto portátiles Hp nuevos en los que el sensor de huellas dactilares no funciona con Windows Hello for Business de fábrica. Una actualización del controlador soluciona el problema la mayor parte del tiempo, pero asegúrese de probar los diferentes dispositivos que tiene en su organización.

Windows Hello para empresas no sólo es una buena mejora de seguridad, sino que también hace que el inicio de sesión sea más cómodo para los usuarios. Eso es algo que realmente ha ayudado con la adopción en su organización.

Si tiene alguna pregunta, simplemente deje un comentario a continuación.