Glossaire
Windows Hello for Business
Méthode de connexion sans mot de passe qui remplace le mot de passe par une clé liée à l'appareil et protégée par le TPM, déverrouillée par un code PIN ou un geste biométrique.
Windows Hello for Business remplace le mot de passe à l'ouverture de session Windows par une paire de clés asymétriques créée sur l'appareil lors de l'inscription. La clé privée est stockée dans le TPM lorsqu'il est disponible et se déverrouille localement par un code PIN ou un geste biométrique ; la clé publique est enregistrée auprès de Microsoft Entra ID ou d'Active Directory. Comme le code PIN ne quitte jamais l'appareil et que la clé est liée à ce matériel, un PIN volé est inutile sur une autre machine et il n'existe aucun mot de passe réutilisable que des kits d'hameçonnage pourraient capturer. Pour les ressources locales, il s'appuie sur l'un de plusieurs modèles d'approbation : l'approbation Kerberos cloud (l'option recommandée pour les déploiements hybrides), l'approbation par clé ou l'approbation par certificat.
C'est important, car les mots de passe restent la matière première de l'hameçonnage, de la pulvérisation de mots de passe et de la réutilisation d'identifiants. Déployez-le avec Intune ou la stratégie de groupe, exigez un TPM matériel, définissez une complexité de PIN raisonnable et une protection contre les tentatives répétées, et associez-le à l'accès conditionnel pour que la connexion résistante à l'hameçonnage soit réellement exigée. Prévoyez une procédure de récupération pour les appareils perdus et les réinitialisations de PIN.
Voir Windows Hello for Business : modèles d'approbation et PIN.