捡垃圾系列：利用UPEK指纹识别器实现Windows Hello免密登录

平时会在外贸淘宝店里买些便宜货，包括一些数码产品。因为笔者公司近期会上一个Windows免密登录的项目，正好看到店里有个UPEK指纹识别器在售卖，于是买回来测试了一下。

无密码（Passwordless）的意义

在上手测试之前，先讲述一下Passwordless的含义和意义。

如果你是一个IT安全的从业者，或者是一个IT行业人员，一定对于密码被窃的危害有所耳闻。按照华尔街2020年的研究报告，每年会有12亿的用户账号和密码被黑客窃取。除此以外，还有共享账号密码，员工泄露密码等问题都给数据安全带来了巨大的危害。

既然密码泄露风险这么大，最直接的方法就是取消密码，采用无密码的方式实现身份验证，避免攻击者乘虚而入。

微软网站上有无密码身份验证的详细解决方案可供参考，链接。

实现无密码验证并不是一蹴而就的，分为多个阶段，要循序渐进消除企业验证系统中密码的使用。

实现无密码化的几种方式

目前微软提供了多种方式来实现无密码化，分别是：

Windows Hello
Microsoft Authenticator
FIDO2 Security Keys

Windows Hello就是本文场景中的实现方式，当然指纹识别只是其中的一种验证方式。

Microsoft Authenticator是安装在手机上的微软应用，利用MFA（多因素身份验证）的方式来提高登录的安全性。

FIDO2 Security Keys是一个类似U盘的装置，接上电脑系统才会认为是授信用户。这个设备不便宜，不过可以利用开源方案自行制作，成本大大降低。参考链接

Windows Hello

我们可以利用Windows Hello来验证一个微软账号，AD账号，Azure AD账号，或者其他服务（比如某个支持FIDO的网页应用）。

目前Windows Hello支持的生物特征识别方式是基于WBF框架的（Windows Biometric Framework），包含面部识别，指纹识别和PIN码这三种方式。需要指出的是，这些生物特征信息都是保存在本地的，并不会被发送到云端或者认证服务器上。

面部识别认证需要硬件的支持，下图体现了普通摄像头和IR摄像头（红外摄像头）成像的差别，明显可以看到只有红外摄像头才能在暗光和背光捕捉面部特征，所以如果要利用面部识别登录，必须要使用红外摄像头。

使用UPEK指纹识别器

笔者在家中使用的电脑为Precision 7710移动工作站，非常老的戴尔产品，甚至不带TPM新片。所以安装Windows 11的时候还挺麻烦，利用修改注册表的方式避开了TPM验证。当然7110也不带指纹识别组件，所以只能利用外接设备实现这一功能。

这个UPEK指纹识别器是从淘宝上购买的，按照新旧程度价格38-68元不等。除了Windows Hello以外，也可以用自带的软件Protector Suite QL，但是两者不能同时使用，这里还是使用Windows 11自带的Windows Hello来实现这一功能。

UPEK Eikon To Go的介绍网页：链接

具体参数如下：

可以看到这是远古产品了，按照说明书支持Windows 2000-Windows Vista的操作系统，同时官方网页也提供了SDK，用户可以自行开发。

到手就是两样东西，UPEK指纹识别器+USB延长线一根。

识别器按压当中那个按钮可以拉出，露出指纹识别区域。

看背面的字样为台湾生产。

插入电脑的USB口即可使用，把手指放在上面有点松松垮垮，所以最后还是使用了USB延长线。

虽然说明书里没有指明支持Windows 11，但是插上设备后Windows 11就识别出了设备TouchChip Fingerprint Coprocessor，并且自动安装了最新的驱动。

然后打开操作系统中的Sign-in options（Windows Hello）———— Fingerprint Recognition，就可以采集指纹了。

按照向导打开配置页面。

因为目前电脑是使用PIN码登录的，在收集指纹前，强制要求我输入PIN码。

将手指放到传感器上并滑动，UPEK会收集指纹信息并保存。

和手机上采集指纹的过程差不多，但是耗费时间挺长。

看到以下提示，说明指纹收集成功，用户可以添加其他手指的指纹信息用于认证。

整个采集时间比较长，搞了好久终于完成了这一流程。

此时电脑在Windows 11的登录界面就可以利用指纹来解锁了。不过经常出现无法识别指纹设备的错误信息，经多次测试后，我发现扫指纹的时候手指要在传感器上快速滑动，动作迟缓反而会降低识别的成功率。