Questo tutorial mostra come configurare l’anti-spoofing avanzato per Windows Hello su dispositivi Windows 10 e Windows 11. L’attivazione dell’anti-spoofing avanzato aggiunge un ulteriore livello di protezione all’accesso biometrico al PC, contribuendo a proteggere il dispositivo e i dati.
Per una guida visiva, guarda Come configurare l’anti-spoofing avanzato per l’autenticazione facciale di Windows Hello.
Che cos’è l’anti-spoofing avanzato per Windows Hello
Windows Hello è una caratteristica di Windows 10 e Windows 11 che ti permette di accedere con un PIN, un’impronta digitale o il riconoscimento del volto anziché digitare la password. I metodi disponibili dipendono dal supporto hardware del dispositivo (la scansione del volto richiede una webcam compatibile, mentre l’accesso con impronta digitale richiede un lettore di impronte digitali).
Rinunciare all’autenticazione tramite password aumenta la sicurezza, perché ti consente di impostare una password più robusta per il PC e per l’account Microsoft: non dovrai digitarla ogni volta che avvii o sblocchi il dispositivo. Riduce inoltre la probabilità che la password venga intercettata da un keylogger o vista da chi ti sta accanto.
Negli ambienti enterprise che utilizzano un dominio Windows e Active Directory, Windows Hello è preferibile perché le credenziali dell’utente non devono essere trasmesse a ogni accesso: dopo il primo accesso, Windows Hello memorizza un token utilizzabile al loro posto, rendendo ancora più sicura l’autenticazione degli utenti in ambienti di business sensibili. Pur essendo più sicuro delle tradizionali combinazioni di nome utente e password, Windows Hello non è infallibile: sono stati dimostrati casi in cui il riconoscimento facciale è stato aggirato mostrando alla fotocamera immagini dell’utente (una tecnica nota come “spoofing”).
L’anti-spoofing avanzato aiuta a difendersi da questi attacchi richiedendo che i dispositivi che usano il riconoscimento facciale per l’accesso dispongano di componenti hardware aggiuntivi, come le fotocamere a infrarossi, che non si lasciano ingannare dalle tecniche di spoofing più comuni.
Come attivare o disattivare l’anti-spoofing avanzato per Windows Hello in Windows 10 e Windows 11
Le istruzioni seguenti per configurare l’anti-spoofing avanzato per Windows Hello tramite l’Editor Criteri di gruppo locali e l’Editor del Registro di sistema valgono sia per Windows 10 sia per Windows 11. Tieni presente che tutti i metodi richiedono l’accesso come amministratore.
Prima di apportare modifiche, è consigliabile eseguire un backup del PC (o, come minimo, un backup dei Criteri di gruppo locali o del Registro di sistema di Windows, a seconda del metodo che utilizzi). Assicurati inoltre di conoscere la password dell’account utente locale o dell’account Microsoft con cui accedi al dispositivo Windows: se utilizzi già Windows Hello per l’accesso, potrebbe essere necessario autenticarti di nuovo dopo le modifiche.
Tramite il Registro di sistema di Windows (Windows 10/11 Home e tutte le altre edizioni)
L’attivazione o la disattivazione dell’anti-spoofing avanzato per Windows Hello può essere eseguita tramite il Registro di sistema di Windows in tutte le versioni di Windows 10 e Windows 11.
- Fai clic con il pulsante destro sul pulsante Start e seleziona Esegui
- Digita il comando regedit e premi OK per aprire l’Editor del Registro di sistema
- Vai alla chiave di registro Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft
- Se in questa posizione la sottochiave Biometrics non esiste, creala selezionando Modifica > Nuovo > Chiave dalla barra degli strumenti
- All’interno della sottochiave Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Biometrics, crea una sottochiave FacialFeatures se non è già presente
Puoi quindi attivare o disattivare l’anti-spoofing avanzato aggiungendo o rimuovendo un valore di registro:
- Per attivare l’anti-spoofing avanzato per Windows Hello, vai a Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Biometrics\FacialFeatures nell’Editor del Registro di sistema, quindi seleziona Modifica > Nuovo > Valore DWORD (32 bit)
- Assegna al nuovo valore DWORD il nome EnhancedAntiSpoofing e imposta il suo valore su 1
- Per disattivare l’anti-spoofing avanzato, elimina il valore DWORD EnhancedAntiSpoofing
- Potrebbe essere necessario riavviare il dispositivo affinché le modifiche abbiano effetto.
Tieni presente che la chiave di registro mostrata sopra riguarda i PC non collegati a un dominio e che non utilizzano Windows Hello for Business (in quel caso, i Criteri di gruppo sono il modo migliore per distribuire la configurazione).
Guarda il riconoscimento del volto, la scansione delle impronte digitali e la configurazione del PIN in azione in questo breve video: “Che cos’è Windows Hello?”
Tramite l’Editor Criteri di gruppo locali (Windows 10/11 Pro ed Enterprise)
Puoi anche usare l’Editor Criteri di gruppo locali di Windows per intervenire sul dispositivo corrente, oppure distribuire un criterio di gruppo in un dominio Active Directory per attivare o disattivare l’anti-spoofing avanzato su più PC in un ambiente enterprise:
- Fai clic con il pulsante destro sul pulsante Start e seleziona Esegui
- Digita il comando gpedit.msc e premi Invio per aprire l’Editor Criteri di gruppo locali
- Vai a Configurazione del computer\Modelli amministrativi\Componenti di Windows\Biometria\Caratteristiche del viso
- Fai doppio clic sull’impostazione Configura anti-spoofing avanzato
- Per attivare l’anti-spoofing avanzato per Windows Hello, seleziona il valore Abilitato
- Per disattivarlo, seleziona il valore Non configurato
- Premi OK per salvare la modifica
Risoluzione dei problemi più comuni di Windows Hello
Se dopo aver attivato l’anti-spoofing avanzato per Windows Hello noti che l’accesso con il volto non è più disponibile, è molto probabile che la tua fotocamera non supporti la tecnologia richiesta dall’anti-spoofing avanzato. Se invece il dispositivo è compatibile ma hai difficoltà ad accedere, puoi seguire questa guida per migliorare il riconoscimento facciale di Windows Hello.
Gestire Windows Hello e l’autenticazione in ambito enterprise e nell’istruzione
Proteggere i dispositivi degli utenti finali negli ambienti enterprise e dell’istruzione è una sfida costante per i team IT: autenticazione e sicurezza devono garantire una protezione adeguata dei dispositivi e, allo stesso tempo, risultare comode, in modo che gli utenti non cerchino scorciatoie (come rimandare il cambio password o usare password facili da indovinare o già utilizzate altrove). Windows Hello e l’autenticazione basata sul dispositivo offrono una sicurezza solida e più pratica rispetto al tradizionale accesso con password.
NinjaOne offre una soluzione completa di gestione dei dispositivi mobili (MDM) che ti permette di distribuire policy di sicurezza (compresa l’attivazione dell’anti-spoofing avanzato per Windows Hello in Windows) e di monitorare i dispositivi dei tuoi utenti. Se un dispositivo mobile viene smarrito o rubato, è possibile localizzarlo e cancellarne i dati da remoto per evitare fughe di dati, proteggendo così i preziosi dati di business dell’azienda e le informazioni private dei tuoi clienti.
