Aanmelden met een pincode is een handige manier om u snel te authenticeren en in te loggen op uw Windows 10-pc. IT-beheerders die verantwoordelijk zijn voor Windows-domeinen willen om veiligheidsredenen echter misschien bepalen of gebruikers zich met een pincode kunnen aanmelden bij Windows 10.
Deze stapsgewijze handleiding laat zien hoe u het aanmelden met een pincode voor domeingebruikers in Windows 10 in- of uitschakelt via Groepsbeleid. Daarnaast leest u wat de voordelen en beveiligingsgevolgen zijn van aanmelden met een pincode vergeleken met andere aanmeldopties in Windows en hoe u het inloggen van Windows-domeingebruikers in zakelijke omgevingen het beste beheert.
Pincode-authenticatie in Windows 10 en Windows Hello voor Bedrijven
Windows Hello voor Bedrijven biedt verschillende handige manieren om zonder wachtwoord in te loggen op een Windows-domein. Denk aan biometrie (via een gezichtsscan of vingerafdruk) en pincode-authenticatie voor Windows 10-domeingebruikers.
Met een pincode logt u snel in op een Windows-device zonder telkens een wachtwoord te hoeven typen. Standaard bestaat een pincode uit 4 cijfers, maar hij kan complexer zijn voor extra beveiliging. Windows Hello-authenticatie wordt per device geconfigureerd en wordt niet samen met de aanmeldgegevens van de gebruiker opgeslagen op de Windows-domein controller.
Enigszins tegen de intuïtie in maakt dit pincode-authenticatie veiliger dan wachtwoordauthenticatie (zelfs als de pincode korter is dan het wachtwoord van de gebruiker): bij het inloggen met een pincode wordt het wachtwoord niet ingevoerd (en kan het dus niet worden afgekeken door omstanders of worden onderschept door keyloggers) en wordt het evenmin naar de domein controller verstuurd. Raakt een pincode gecompromitteerd, dan is alleen dat ene device getroffen – het wachtwoord en alle accounts die daarmee zijn beveiligd blijven privé.
De gegevens die worden gebruikt voor aanmelden met Windows Hello zijn sterk versleuteld en worden veilig opgeslagen met een hardwarematige trusted platform module (TPM). Daardoor zijn ze lastig te kraken en bieden ze betere bescherming tegen brute-force-aanvallen.
Redenen om aanmelden met een pincode voor domeingebruikers in of uit te schakelen
Het inschakelen van pincode-authenticatie en Windows Hello voor Windows 10-domeingebruikers biedt onder meer deze voordelen:
- Betere beveiliging: Windows Hello met biometrische authenticatie of een pincode, ondersteund door een hardwarematige TPM, verkleint het risico dat wachtwoorden worden gestolen en op andere systemen worden gebruikt.
- Gemak voor gebruikers: pincodes zijn doorgaans veel korter dan wachtwoorden en makkelijker te onthouden. Daardoor kunnen ze eenvoudig worden gewijzigd en worden ze veel minder snel vergeten.
- Multifactorauthenticatie: Windows Hello, inclusief het gebruik van pincodes, kan worden gecombineerd met andere authenticatiemethoden die Active Directory of Windows Entra ID ondersteunen. Zo krijgt u extra bescherming via meerdere factoren terwijl het voor gebruikers gemakkelijk blijft.
Technisch gezien biedt Windows Hello zowel meer gemak als meer veiligheid dan traditioneel inloggen met een wachtwoord, maar er zijn gegronde redenen waarom Windows-domeinbeheerders ervoor kiezen om aanmelden met een pincode uit te schakelen:
- Compliance: regelgeving of intern beleid kan voorschrijven welke methoden gebruikers mogen gebruiken om in te loggen, inclusief wachtwoordcomplexiteit die pincodes kan verbieden.
- Gebruiksgemak: gebruikers die gewend zijn aan traditionele aanmeldmethoden kunnen in de war raken als er meerdere aanmeldopties zijn en geven er de voorkeur aan dat aanmelden met een pincode en andere Windows Hello-functies zijn uitgeschakeld.
- Hardware-ondersteuning: Windows Hello (inclusief pincode-authenticatie) vereist weliswaar geen TPM om versleutelingssleutels te genereren en op te slaan, maar systeembeheerders schakelen de functie mogelijk liever uit als niet alle devices waarvoor zij verantwoordelijk zijn over een TPM beschikken (en dus over de sterkere versleuteling en beveiliging die een TPM biedt).
- Centrale controle: organisaties die het aantal ondersteunde aanmeldopties willen beperken om probleemoplossing te vereenvoudigen, kiezen vaak voor één enkele aanmeldmethode op basis van een wachtwoord.
Stapsgewijze instructies: aanmelden met een pincode voor domeingebruikers in- of uitschakelen
Hieronder leest u hoe u het aanmelden met een pincode voor domeingebruikers in Windows 10 in- of uitschakelt met Groepsbeleid in Active Directory. U moet zijn ingelogd met een beheerdersaccount op het domein en toegang hebben tot een domein controller met de Groepsbeleidsbeheer-console (GPMC). Daarnaast heeft u Windows Server 2016 of hoger nodig om Windows Hello voor Bedrijven te kunnen gebruiken.
Volg deze stappen om aanmelden met een pincode in Windows 10 voor domeingebruikers in te schakelen:
- Zorg dat u met een beheerdersaccount bent ingelogd op een domein controller
- Klik met de rechtermuisknop op de knop Start en klik op Uitvoeren
- Voer gpmc.msc in om Groepsbeleidsbeheer te openen
- Maak een groepsbeleidsobject (GPO) aan voor de gebruikers, groepen of andere organisatie-eenheden (OU’s) waarvoor u het aanmelden met een pincode wilt configureren
- Klik met de rechtermuisknop op de nieuwe GPO en klik op Bewerken
- Ga in de Groepsbeleidseditor naar Computerconfiguratie\Beheersjablonen\Systeem\Aanmelden
- Klik met de rechtermuisknop op de instelling Aanmelden met handige pincode inschakelen en klik op Bewerken
- Selecteer Ingeschakeld om aanmelden met een pincode voor Windows 10-domeingebruikers in te schakelen en klik op OK
- Start de Windows-pc’s waarop het groepsbeleid van toepassing is opnieuw op of voer gpupdate /force uit in de opdrachtprompt op elke machine om te zorgen dat de wijziging is doorgevoerd
Om aanmelden met een pincode voor domeingebruikers uit te schakelen, volgt u dezelfde stappen, maar schakelt u de betreffende optie uit:
- Zodra u in de Groepsbeleidseditor naar Computerconfiguratie\Beheersjablonen\Systeem\Aanmelden bent genavigeerd, klikt u met de rechtermuisknop op de instelling Aanmelden met handige pincode inschakelen en klikt u op Bewerken
- Selecteer Uitgeschakeld of Niet geconfigureerd om aanmelden met een pincode voor Windows 10-domeingebruikers uit te schakelen en klik op OK
- Start de Windows-pc’s waarop het groepsbeleid van toepassing is opnieuw op of voer gpupdate /force uit in de opdrachtprompt op elke machine om te zorgen dat de wijziging is doorgevoerd
Worden uw wijzigingen in de aanmeldopties van uw Windows-domeingebruikers niet doorgevoerd, controleer dan of u de juiste OU’s heeft geselecteerd en of er geen conflicterende beleidsregels zijn – bij een conflict krijgt het strengste beleid altijd voorrang.
Wilt u het proces zien? Bekijk dan onze videogids: Aanmelden met een pincode in- en uitschakelen in Windows 10.
Toepassingen van pincode-authenticatie in domeinomgevingen
Via groepsbeleid bepalen of gebruikers zich met een pincode kunnen aanmelden bij Windows 10 is voor beheerders een handige manier om de aanmeldopties van hun gebruikers centraal te beheren. Dankzij het gedetailleerde karakter van groepsbeleidsobjecten kunnen die worden toegewezen aan OU’s en alleen de beoogde gebruikers raken.
Aanmelden met een pincode is op zichzelf handig voor gebruikers die een werkplek delen en snel moeten kunnen in- en uitloggen, bijvoorbeeld in zakelijke of onderwijsomgevingen. Omdat pincodes alleen werken op het specifieke device waarop ze zijn ingesteld, bieden ze ook bescherming tegen phishing: zelfs als een gebruiker per ongeluk zijn pincode prijsgeeft, kan die niet worden gebruikt om vanaf een andere machine of op afstand toegang te krijgen tot zijn account op het Windows-domein.
Authenticatie met Windows Hello voor Bedrijven is ook bijzonder nuttig in offline situaties: omdat Windows Hello-gegevens lokaal worden opgeslagen kunnen gebruikers zich authenticeren, ook zonder verbinding met internet of met de VPN van hun werk.
Vergelijking met andere authenticatiemethoden
De authenticatieopties van Windows Hello voor Bedrijven zijn veiliger dan traditionele wachtwoorden. Zowel aanmelden met een pincode als biometrisch aanmelden is devicespecifiek, waardoor het prijsgeven ervan geen andere delen van uw IT-infrastructuur in gevaar brengt.
Biometrie biedt meer veiligheid dan pincodes (waar het gebruik ervan is toegestaan), omdat biometrische referenties ongelooflijk lastig te stelen zijn en niet kunnen worden geraden of via brute force kunnen worden achterhaald.
Beveiligingsconfiguraties moeiteloos beheren
Bepalen of gebruikers zich met een pincode kunnen aanmelden bij Windows 10 is slechts een van de configuratieopties die u wilt uitrollen naar een deel van uw domeingebruikers (bijvoorbeeld om het inloggen te vereenvoudigen) of naar de hele organisatie (bijvoorbeeld om aan wettelijke eisen te voldoen).
Windows-domeinen vereenvoudigen het beheer van grote aantallen Windows-devices en de mensen die ze gebruiken aanzienlijk. Bij uitrol op ondernemingsschaal met honderden of duizenden devices is het echter een uitdaging om overzicht te houden en te zorgen dat elk device veilig is terwijl u ook tegemoetkomt aan de individuele wensen van gebruikers. Daarnaast biedt Windows Hello weliswaar beveiligingsvoordelen, maar de authenticatiemethoden die op een bepaald device beschikbaar zijn, garanderen nog geen veilig device.
Een end-to-end-oplossing voor beheer van mobiele apparaten (MDM) van NinjaOne geeft u volledig overzicht over uw complete IT-infrastructuur. U beheert er beveiligingsconfiguraties mee, u houdt verdachte activiteiten in de gaten en u vergrendelt verloren, gestolen of gecompromitteerde devices, waarmee u de gegevens beschermt die erop staan, zelfs als de referenties van de eigenaar zijn gecompromitteerd.
