Windows Hello for Business¶

Windows Hello for Business remplace le mot de passe par une authentification asymétrique liée au poste. L'utilisateur prouve son identité avec un facteur local (PIN ou biométrie) qui déverrouille une clé privée stockée dans le TPM.

Le mot de passe n'est plus transmis sur le réseau. L'attaquant qui intercepte le trafic d'authentification ne capture ni hash réutilisable, ni secret rejouable.

1. Qu'est-ce que WHfB¶

1.1 Clé asymétrique + facteur local¶

WHfB repose sur une paire de clés RSA ou ECC. La clé privée est générée et stockée dans le TPM du poste. Elle ne quitte jamais le matériel.

Pour utiliser cette clé privée, l'utilisateur doit d'abord s'authentifier localement via un PIN ou un capteur biométrique. Ce facteur local déverrouille l'accès à la clé, qui signe ensuite la demande d'authentification.

1.2 Différence avec Windows Hello grand public¶

Windows Hello (sans "for Business") est la version grand public. Elle offre le même confort d'usage (PIN, empreinte, reconnaissance faciale) mais sans l'infrastructure de clés asymétriques ni l'intégration AD.

2. Modèles de déploiement¶

WHfB propose trois modèles selon l'infrastructure d'identité en place.

2.1 Cloud (Entra ID)¶

Le modèle le plus simple. Les identités sont gérées uniquement dans Entra ID (anciennement Azure AD). L'enregistrement de la clé publique se fait directement dans le cloud.

Ce modèle convient aux organisations full-cloud sans contrôleur de domaine on-premises.

2.2 Hybrid (AD DS + Entra ID)¶

Le modèle le plus courant en entreprise. Les identités existent dans Active Directory et sont synchronisées vers Entra ID via Entra Connect.

Deux variantes existent :

• Key trust : la clé publique WHfB est synchronisée vers AD DS. Les DC Windows Server 2016+ valident l'authentification Kerberos.
• Certificate trust : une PKI interne émet un certificat à l'utilisateur lors du provisionnement WHfB. Ce certificat est utilisé pour l'authentification on-premises.

2.3 On-premises (AD DS seul)¶

Ce modèle fonctionne sans composant cloud. Il nécessite obligatoirement une PKI interne (certificate trust) ou des DC Windows Server 2016+ (key trust).

Il est adapté aux environnements isolés ou aux organisations qui ne synchronisent pas vers Entra ID.

3. Prérequis techniques¶

3.1 TPM¶

WHfB fonctionne sans TPM, mais perd alors sa principale garantie. Sans TPM, la clé privée est stockée de manière logicielle et devient extractible par un attaquant ayant un accès administrateur.

3.2 Version Windows¶

WHfB nécessite au minimum Windows 10 version 1703 (Creators Update). Windows 11 apporte des améliorations sur la gestion biométrique et le provisionnement sans mot de passe.

3.3 Licences et infrastructure¶

4. Clés de registre WHfB¶

Les GPO WHfB écrivent sous HKLM\SOFTWARE\Policies\Microsoft\PassportForWork.

4.1 Complexité du PIN¶

Les paramètres de complexité du PIN se trouvent sous PassportForWork\PINComplexity.

5. Déploiement via GPO¶

5.1 Chemin GPO¶

Les paramètres WHfB se trouvent dans :

Computer Configuration
  > Administrative Templates
    > Windows Components
      > Windows Hello for Business

5.2 Paramètres recommandés¶

5.3 Processus de provisionnement¶

Lorsqu'un utilisateur se connecte sur un poste ciblé par la GPO :

1. Windows détecte que WHfB est requis et non encore provisionné.
2. L'utilisateur est invité à configurer un PIN (et éventuellement la biométrie).
3. Le TPM génère la paire de clés asymétriques.
4. La clé publique est enregistrée dans Entra ID et/ou AD DS.
5. Les connexions suivantes utilisent WHfB au lieu du mot de passe.

FIDO2 et durcissement¶

Pour les comptes sensibles, ajoutez FIDO2 comme facteur physique plutôt que comme remplacement automatique de WHfB.

HKLM\SOFTWARE\Policies\Microsoft\FIDO
    UseSecurityKeyForSignin = 1

Complétez avec des réglages de durcissement cohérents :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    DontDisplayLastUserName = 1

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
    SupportedEncryptionTypes = 0x18

0x18 force AES128 + AES256 pour Kerberos. C'est cohérent avec WHfB Cloud Kerberos Trust, mais seulement si tous les services et comptes applicatifs supportent AES.

6. Flux d'authentification WHfB¶

sequenceDiagram
    participant U as Utilisateur
    participant P as Poste (TPM)
    participant AD as AD DS / Entra ID

    U->>P: Saisie du PIN ou biométrie
    P->>P: Déverrouillage de la clé privée (TPM)
    P->>P: Signature du challenge d'authentification
    P->>AD: Envoi de la réponse signée
    AD->>AD: Vérification avec la clé publique enregistrée
    AD->>P: Ticket Kerberos / token émis
    P->>U: Session ouverte

Le mot de passe n'intervient à aucune étape. Le TPM protège la clé privée contre l'extraction. Le PIN ou la biométrie ne servent qu'à autoriser l'utilisation locale de cette clé.

7. Tableau récapitulatif¶