ผู้ใช้สามารถใช้คีย์ความปลอดภัยฮาร์ดแวร์ที่ผลิตโดยบริษัทสัญชาติสวีเดนYubicoเพื่อเข้าสู่ระบบบัญชี LocalบนWindows^{(Windows 10)} 10 บริษัทเพิ่งเปิดตัว แอปพลิเคชั่น Yubico Login สำหรับ Windows^{(Login for Windows application)} เวอร์ชั่น เสถียร ในโพสต์นี้ เราจะแสดงวิธีการติดตั้งและกำหนดค่าYubiKeyสำหรับใช้กับพีซี Windows 10

YubiKeyเป็นอุปกรณ์ตรวจสอบฮาร์ดแวร์ที่รองรับรหัสผ่านแบบใช้ครั้งเดียว การเข้ารหัสและรับรองความถูกต้องของคีย์สาธารณะ และโปรโตคอล Universal 2nd Factor (U2F)และFIDO2 ที่^(FIDO2)พัฒนาโดยFIDO Alliance อนุญาตให้ผู้ใช้เข้าสู่ระบบบัญชีได้อย่างปลอดภัยด้วยการปล่อยรหัสผ่านแบบใช้ครั้งเดียวหรือใช้คู่คีย์สาธารณะ/ส่วนตัวตาม FIDO ที่สร้างโดยอุปกรณ์ YubiKeyยังอนุญาตให้จัดเก็บรหัสผ่านแบบคงที่เพื่อใช้ในไซต์ที่ไม่รองรับรหัสผ่านแบบใช้ครั้งเดียว Facebookใช้YubiKeyสำหรับข้อมูลประจำตัวของพนักงาน และGoogleรองรับทั้งพนักงานและผู้ใช้ ผู้จัดการรหัสผ่านบางคนรองรับYubiKeyYubicoยังผลิตSecurity Keyซึ่งเป็นอุปกรณ์ที่คล้ายกับYubiKeyแต่เน้นที่การรับรองความถูกต้องของกุญแจสาธารณะ

YubiKey อนุญาตให้ผู้ใช้ลงชื่อ เข้ารหัส และถอดรหัสข้อความโดยไม่ต้องเปิดเผยคีย์ส่วนตัวต่อโลกภายนอก ก่อนหน้านี้ฟีเจอร์นี้มีให้สำหรับ ผู้ใช้ MacและLinuxเท่านั้น

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. ฮาร์ดแวร์ YubiKey USB
2. ซอฟต์แวร์เข้าสู่ระบบ Yubico สำหรับ Windows
3. ซอฟต์แวร์ YubiKey Manager

ทั้งหมดนี้มีอยู่ในyubico.comใต้ แท็บ Product s นอกจากนี้ คุณควรทราบด้วยว่า แอป YubiKeyไม่รองรับ บัญชี Windows ในเครื่อง ที่จัดการโดยAzure Active Directory ( AAD ) หรือ Active Directory (AD) รวมถึงบัญชีMicrosoft

YubiKeyอุปกรณ์ตรวจสอบฮาร์ดแวร์

ก่อนติดตั้งซอฟต์แวร์เข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsให้จดบันทึกชื่อผู้ใช้และรหัสผ่านWindows ของคุณสำหรับบัญชีในเครื่อง ^(Windows)ผู้ติดตั้งซอฟต์แวร์ต้องมีชื่อผู้ใช้และรหัสผ่านWindows สำหรับบัญชีของตน ^(Windows)หากไม่มีสิ่งเหล่านี้ จะไม่สามารถกำหนดค่าได้ และไม่สามารถเข้าถึงบัญชีได้ ลักษณะการทำงานเริ่มต้นของ ผู้ให้บริการข้อมูลประจำตัวของ Windowsคือการจดจำการเข้าสู่ระบบครั้งล่าสุดของคุณ ดังนั้นคุณจึงไม่ต้องพิมพ์ชื่อผู้ใช้

ด้วยเหตุนี้ หลายคนอาจจำชื่อผู้ใช้ไม่ได้ อย่างไรก็ตาม เมื่อคุณติดตั้งเครื่องมือและรีบูต ระบบ จะโหลดผู้ให้บริการข้อมูลประจำตัว Yubico ใหม่ เพื่อให้ทั้งผู้ดูแลระบบและผู้ใช้ปลายทางต้องพิมพ์ชื่อผู้ใช้จริง ด้วยเหตุผลเหล่านี้ ไม่เพียงแต่ผู้ดูแลระบบเท่านั้น แต่ทุกคนที่มีบัญชีจะต้องได้รับการกำหนดค่าผ่านYubico LoginสำหรับWindowsควรตรวจสอบเพื่อให้แน่ใจว่าพวกเขาสามารถเข้าสู่ระบบโดยใช้ ชื่อผู้ใช้และรหัสผ่าน Windowsสำหรับบัญชีท้องถิ่นของตน ก่อนที่ผู้ดูแลระบบจะติดตั้งเครื่องมือและกำหนดค่าจะสิ้นสุด - บัญชีผู้ใช้งาน

นอกจากนี้ ยังจำเป็นต้องทราบด้วยว่าเมื่อ กำหนดค่า Yubico LoginสำหรับWindowsแล้ว จะมี:

• ไม่มีคำแนะนำรหัสผ่าน Windows
• ไม่มีวิธีรีเซ็ตรหัสผ่าน
• ฟังก์ชันไม่Remember Previous User/Login

นอกจากนี้การเข้าสู่ระบบอัตโนมัติ ของ Windowsยัง เข้ากันไม่ได้กับ Yubico LoginสำหรับWindows หากผู้ใช้ที่บัญชีถูกตั้งค่าให้เข้าสู่ระบบอัตโนมัติจำรหัสผ่านเดิมไม่ได้อีกต่อไปเมื่อการ กำหนดค่าการ เข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsมีผล บัญชีจะไม่สามารถเข้าถึงได้อีกต่อไป แก้ไข^(Address)ปัญหานี้ไว้ก่อนโดย:

• ให้ผู้ใช้ตั้งรหัสผ่านใหม่ก่อนปิดใช้งานการเข้าสู่ระบบอัตโนมัติ
• ให้ผู้ใช้ทุกคนตรวจสอบว่าสามารถเข้าถึงบัญชีของตนได้ด้วยชื่อผู้ใช้และรหัสผ่านใหม่ ก่อนที่คุณจะใช้ Yubico LoginสำหรับWindowsเพื่อกำหนดค่าบัญชีของพวกเขา

ต้องมีสิทธิ์ ของผู้ดูแลระบบในการติดตั้งซอฟต์แวร์

การติดตั้ง YubiKey

ขั้นแรก ยืนยันชื่อผู้ใช้ของคุณ เมื่อคุณติดตั้งYubico LoginสำหรับWindowsและรีบูตแล้ว คุณจะต้องป้อนรหัสผ่านนี้เพิ่มเติมจากรหัสผ่านเพื่อเข้าสู่ระบบ ในการดำเนินการนี้ ให้เปิดCommand PromptหรือPowerShellจาก เมนู Startแล้วเรียกใช้คำสั่งด้านล่าง

whoami

จด^(Take)บันทึกผลลัพธ์ทั้งหมด ซึ่งควรอยู่ในรูปแบบDESKTOP-1JJQRDF\jdoeโดยที่  jdoe  คือชื่อผู้ใช้

1. ดาวน์โหลด^(Download)ซอฟต์แวร์Yubico LoginสำหรับWindowsจากที่นี่^(here)
2. เรียกใช้ตัวติดตั้งโดยดับเบิลคลิกที่ดาวน์โหลด
3. ยอมรับข้อตกลงสิทธิ์การใช้งานสำหรับผู้ใช้ปลายทาง
4. ในวิซาร์ดการติดตั้ง ให้ระบุตำแหน่งโฟลเดอร์ปลายทางหรือยอมรับตำแหน่งเริ่มต้น
5. รีสตาร์ทเครื่องที่ติดตั้งซอฟต์แวร์ไว้ หลังจากการรีสตาร์ท ผู้ให้บริการข้อมูลประจำตัว Yubicoจะแสดงหน้าจอการเข้าสู่ระบบที่แจ้งให้YubiKey

เนื่องจากYubiKeyยังไม่ได้รับการจัดเตรียม คุณต้องสลับผู้ใช้และป้อนไม่เพียงแต่รหัสผ่านสำหรับ บัญชี Windows ในพื้นที่ของคุณ แต่ยังรวมถึงชื่อผู้ใช้ของคุณสำหรับบัญชีนั้นด้วย หากจำเป็น คุณอาจต้อง เปลี่ยนบัญชี Microsoft เป็นLocal Account

หลังจากที่คุณเข้าสู่ระบบแล้ว ให้ค้นหา “การกำหนดค่าการเข้าสู่ระบบ” ด้วยไอคอนสีเขียว (รายการที่ระบุว่าเข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsเป็นเพียงตัวติดตั้ง ไม่ใช่แอปพลิเคชัน)

YubiKey การกำหนดค่า

ต้องมีสิทธิ์ ของผู้ดูแลระบบ^{(Administrator)}ในการกำหนดค่าซอฟต์แวร์ เฉพาะบัญชีที่รองรับ เท่านั้น
ที่สามารถกำหนดค่าสำหรับการเข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindows หากคุณเปิดใช้วิซาร์ดการกำหนดค่า และบัญชีที่คุณกำลังค้นหาไม่ปรากฏขึ้น แสดงว่าไม่มีการสนับสนุน ดังนั้นจึงไม่พร้อมใช้งานสำหรับการกำหนดค่า

ในระหว่างขั้นตอนการกำหนดค่า จำเป็นต้องมีสิ่งต่อไปนี้

• คีย์หลักและคีย์สำรอง^{(Primary and Backup Keys)} : ใช้YubiKey ที่แตกต่างกัน สำหรับการลงทะเบียนแต่ละครั้ง หากคุณกำลังกำหนดค่าคีย์สำรอง ผู้ใช้แต่ละคนควรมีYubiKey หนึ่งอัน สำหรับคีย์หลักและอีกอันสำหรับคีย์สำรอง
• รหัส^{(Recovery Code)}การกู้คืน : รหัสกู้คืนเป็นกลไกทางเลือกสุดท้ายในการตรวจสอบผู้ใช้หาก YubiKeys สูญหายทั้งหมด รหัส กู้คืน^(Recovery)สามารถกำหนดให้กับผู้ใช้ที่คุณระบุ อย่างไรก็ตาม รหัสกู้คืนจะใช้ได้ก็ต่อเมื่อมีชื่อผู้ใช้และรหัสผ่านสำหรับบัญชีนั้นด้วย ตัวเลือกในการสร้างรหัสกู้คืนจะแสดงขึ้นในระหว่างขั้นตอนการกำหนดค่า

ขั้นตอนที่ 1: ใน เมนู Startของ Windows เลือกYubico > Login Configuration

ขั้นตอนที่ 2: กล่องโต้ตอบ การควบคุมบัญชีผู้ใช้^{(User Account Control)}จะปรากฏขึ้น หากคุณกำลังเรียกใช้สิ่งนี้จากบัญชีที่ไม่ใช่ผู้ดูแลระบบ คุณจะได้รับพร้อมท์สำหรับข้อมูลประจำตัวของผู้ดูแลระบบในพื้นที่ หน้าต้อนรับจะแนะนำ ตัวช่วยสร้างการจัดเตรียม Yubico Login Configuration :

ขั้นตอนที่ 3: คลิกถัด^(Next)ไป หน้าเริ่มต้น^(Default)ของYubico Windows Login Configurationจะปรากฏขึ้น

ขั้นตอนที่ 4: รายการที่กำหนดค่าได้คือ:

สล็อต^(Slots) : เลือกสล็อตที่จะเก็บความลับของการตอบคำถาม YubiKeys ทั้งหมดที่ยังไม่ได้ปรับแต่งมาพร้อมกับข้อมูลประจำตัวที่โหลดไว้ล่วงหน้าในช่อง 1 ดังนั้นหากคุณใช้Yubico LoginสำหรับWindowsเพื่อกำหนดค่า YubiKeys ที่ใช้อยู่แล้วสำหรับการเข้าสู่ระบบบัญชีอื่น อย่าเขียนทับช่อง 1

Challenge/Response Secret : รายการนี้ช่วยให้คุณสามารถระบุวิธีกำหนดค่าข้อมูลลับและตำแหน่งที่จะจัดเก็บความลับ ตัวเลือกคือ:

• ใช้ความลับที่มีอยู่หากกำหนดค่าไว้ – สร้างหากไม่ได้กำหนดค่า^{(Use existing secret if configured – generate if not configured)} : รหัสลับที่มีอยู่ของคีย์จะถูกใช้ในช่องที่ระบุ หากอุปกรณ์ไม่มีข้อมูลลับอยู่แล้ว กระบวนการเตรียมใช้งานจะสร้างข้อมูลลับใหม่
• สร้างความลับแบบสุ่มใหม่ แม้ว่าจะมีการกำหนดค่าความลับอยู่แล้ว^{(Generate new, random secret, even if a secret is currently configured)} : ข้อมูลลับใหม่จะถูกสร้างขึ้นและตั้งโปรแกรมไปที่สล็อต โดยจะเขียนทับความลับที่กำหนดค่าไว้ก่อนหน้านี้
• ป้อนข้อมูลลับด้วยตนเอง^{(Manually input secret)} :  สำหรับผู้ใช้ขั้นสูง^{(For advanced users)} : ในระหว่างขั้นตอนการเตรียมใช้งาน แอปพลิเคชันจะแจ้งให้คุณป้อนข้อมูลลับ HMAC-SHA1 ด้วยตนเอง (20 ไบต์ – 40 อักขระเข้ารหัสฐานสิบหก)

สร้างรหัสกู้คืน^{(Generate Recovery Code)} : สำหรับผู้ใช้แต่ละคนที่จัดเตรียมไว้ รหัสกู้คืนใหม่จะถูกสร้างขึ้น รหัสการกู้คืนนี้ทำให้ผู้ใช้ปลายทางสามารถเข้าสู่ระบบระบบได้หาก YubiKey หาย
หมายเหตุ: หากคุณเลือกบันทึกรหัสกู้คืนขณะเตรียมใช้งานผู้ใช้สำหรับคีย์ที่สอง รหัสกู้คืนก่อนหน้าจะใช้งานไม่ได้ และมีเพียงรหัสกู้คืนใหม่เท่านั้นที่จะใช้งานได้

สร้างอุปกรณ์สำรองข้อมูลสำหรับผู้ใช้แต่ละราย^{(Create Backup Device for Each User)} : ใช้ตัวเลือกนี้เพื่อให้กระบวนการจัดเตรียมลงทะเบียนสองคีย์สำหรับผู้ใช้แต่ละราย ได้แก่YubiKeyหลัก และ YubiKeyสำรอง หากคุณไม่ต้องการให้รหัสกู้คืนแก่ผู้ใช้ เป็นการดีที่จะมอบYubiKey สำรองให้ผู้ใช้แต่ละ คน สำหรับข้อมูลเพิ่มเติม โปรดดู ส่วนคีย์ หลัก^(Primary)และคีย์สำรอง^{(Backup Keys)}  ด้านบน

ขั้นตอนที่ 5: คลิกถัดไป^(Next)เพื่อเลือกผู้ใช้ที่จะจัดเตรียม หน้าเลือกบัญชีผู้ใช้^{(Select User Accounts)} (หากไม่มีบัญชีผู้ใช้ภายในที่รองรับโดยYubico LoginสำหรับWindowsรายการจะว่างเปล่า) จะปรากฏขึ้น

ขั้นตอนที่ 6: เลือกบัญชีผู้ใช้ที่จะจัดเตรียมระหว่างการรันYubico LoginสำหรับWindows ปัจจุบันโดยการเลือกช่องทำเครื่องหมายถัดจากชื่อผู้ใช้ จาก นั้นคลิกNext หน้า การกำหนดค่าผู้ใช้^{(Configuring User)}จะปรากฏขึ้น

ขั้นตอนที่ 7: ชื่อผู้ใช้ที่แสดงในช่องกำหนดค่าผู้ใช้^{(Configuring User)}ที่แสดงด้านบนคือผู้ใช้ที่ YubiKey กำลังกำหนดค่าอยู่ เมื่อมีการแสดงชื่อผู้ใช้แต่ละราย กระบวนการจะแจ้งให้คุณใส่ YubiKey เพื่อลงทะเบียนสำหรับผู้ใช้รายนั้น

ขั้นตอนที่ 8: หน้ารออุปกรณ์^{(Wait for Device)}จะปรากฏขึ้นในขณะที่ตรวจพบ YubiKey ที่แทรกไว้ และก่อนที่จะลงทะเบียนสำหรับผู้ใช้ที่มีชื่อผู้ใช้อยู่ในช่องการกำหนดค่าผู้ใช้^{(Configuring User)}ที่ด้านบนของหน้า หากคุณได้เลือกCreate Backup Device for Each Userในหน้าDefaults ฟิลด์ ^(Defaults)Configuring Userจะแสดงว่าYubiKeysใดกำลังลงทะเบียนหลัก^(Primary)หรือสำรอง^(Backup)

ขั้นตอนที่ 9: หากคุณกำหนดค่ากระบวนการเตรียมใช้งานให้ใช้ข้อมูลลับที่ระบุด้วยตนเอง ช่องสำหรับข้อมูลลับฐานสิบหก 40 หลักจะแสดงขึ้น ป้อนความลับและคลิกถัด^(Next)ไป

ขั้นตอนที่ 10: หน้า อุปกรณ์การเขียนโปรแกรม^{(Programming Device)}แสดงความคืบหน้าของการเขียนโปรแกรมYubiKey แต่ละ อัน หน้า การยืนยันอุปกรณ์^{(Device Confirmation)} ที่ แสดงด้านล่างจะแสดงรายละเอียดของYubiKey ที่ ตรวจพบโดยกระบวนการจัดเตรียม รวมถึงหมายเลขซีเรียลของอุปกรณ์ (ถ้ามี) และสถานะการกำหนดค่าของช่องรหัสผ่านแบบใช้ครั้ง^{(One-Time Password)} เดียว ( OTP ) แต่ละช่อง หากมีข้อขัดแย้งระหว่างสิ่งที่คุณตั้งเป็นค่าเริ่มต้น กับสิ่งที่เป็นไปได้กับYubiKey ที่ตรวจพบ สัญลักษณ์เตือนจะปรากฏขึ้น หากทุกอย่างเรียบร้อยดี เครื่องหมายถูกจะปรากฏขึ้น หากบรรทัดสถานะแสดงไอคอนข้อผิดพลาด ข้อผิดพลาดจะอธิบายไว้ และคำแนะนำในการแก้ไขจะแสดงบนหน้าจอ

ขั้นตอนที่ 11: เมื่อการเขียนโปรแกรมเสร็จสมบูรณ์สำหรับบัญชีผู้ใช้แล้ว บัญชีนั้นไม่สามารถเข้าถึงได้อีกต่อไปหากไม่มีYubiKeyที่ เกี่ยวข้อง คุณจะได้รับแจ้งให้ลบYubiKey ที่ เพิ่งกำหนดค่า และกระบวนการเตรียมใช้งานจะไปยังบัญชีผู้ใช้ถัดไป/ ชุดค่าผสมYubiKey โดยอัตโนมัติ^(YubiKey)

ขั้นตอนที่ 12: หลังจากทั้งหมดYubiKeysสำหรับบัญชีผู้ใช้ที่ระบุได้รับการจัดเตรียม:

• หากเลือกGenerate Recovery Code  ใน หน้า Defaultsหน้าRecovery Codeจะแสดงขึ้น
• หาก  ไม่ได้เลือก Generate Recovery Code  กระบวนการเตรียมใช้งานจะดำเนินการต่อไปยังบัญชีผู้ใช้ถัดไปโดยอัตโนมัติ
• กระบวนการเตรียมใช้งานจะย้ายไปที่  เสร็จสิ้น^(Finished)  หลังจากบัญชีผู้ใช้ล่าสุดเสร็จสิ้น

รหัสการกู้คืนเป็นสตริงที่ยาว (เพื่อขจัดปัญหาที่เกิดจากผู้ใช้ปลายทางเข้าใจผิดว่าตัวเลข 1 สำหรับอักษรตัวพิมพ์เล็ก L และ 0 สำหรับตัวอักษร O นั้น รหัสการกู้คืนจะถูกเข้ารหัสในBase32ซึ่งจะใช้กับอักขระที่เป็นตัวอักษรและตัวเลขคละกันที่ดูเหมือนเหมือนกัน)

หน้า รหัสกู้คืน^{(Recovery Code)}จะปรากฏขึ้นหลังจากกำหนดค่าYubiKeys ทั้งหมด สำหรับบัญชีผู้ใช้ที่ระบุแล้ว

ขั้นตอนที่ 13: ใน หน้า รหัสกู้คืน^{(Recovery Code)}ให้สร้างและตั้งค่ารหัสกู้คืนสำหรับผู้ใช้ที่เลือก เมื่อดำเนินการเสร็จแล้ว ปุ่มคัดลอก^(Copy)  และ  บันทึก^(Save)ทางด้านขวาของฟิลด์รหัสกู้คืนจะพร้อมใช้งาน

ขั้นตอนที่ 14: คัดลอกรหัสกู้คืนและบันทึกจากการแชร์กับผู้ใช้และเก็บไว้ในกรณีที่ผู้ใช้ทำหาย

หมายเหตุ^(Note) : อย่าลืมบันทึกรหัสกู้คืนในขั้นตอนนี้ เมื่อคุณไปยังหน้าจอถัดไป จะไม่สามารถเรียกรหัสได้

ขั้นตอนที่ 15: หากต้องการย้ายไปยังบัญชีผู้ใช้ถัดไปจากหน้าSelect Users^{(Select Users)}ให้คลิกNext เมื่อคุณกำหนดค่าผู้ใช้รายสุดท้ายแล้ว กระบวนการจัดเตรียมจะแสดงหน้าเสร็จสิ้น^(Finished)

ขั้นตอนที่ 16: ให้รหัสกู้คืนแก่ผู้ใช้แต่ละคน ผู้ใช้ปลายทางควรบันทึกรหัสกู้คืนของตนไปยังตำแหน่งที่ปลอดภัยซึ่งสามารถเข้าถึงได้เมื่อไม่สามารถเข้าสู่ระบบได้

ประสบการณ์ผู้ใช้ YubiKey

เมื่อบัญชีผู้ใช้ภายในได้รับการกำหนดค่าให้ต้องใช้YubiKeyผู้ใช้จะได้รับการตรวจสอบสิทธิ์โดยYubico Credential Providerแทนค่าเริ่มต้นของWindows Credential Provider ผู้ใช้จะได้รับแจ้งให้ใส่YubiKey ของ ตน จากนั้น หน้าจอ เข้าสู่ระบบ Yubico^{(Yubico Login)}จะปรากฏขึ้น ผู้ใช้ป้อนชื่อผู้ใช้และรหัสผ่าน

หมายเหตุ^(Note) : ไม่จำเป็นต้องกดปุ่มบน ฮาร์ดแวร์ YubiKey USBเพื่อเข้าสู่ระบบ ในบางกรณี การกดปุ่มจะทำให้การเข้าสู่ระบบล้มเหลว

เมื่อผู้ใช้ปลายทางเข้าสู่ระบบ พวกเขาจะต้องเสียบYubiKey ที่ถูกต้อง ลงใน พอร์ต USBของระบบ หากผู้ใช้ปลายทางป้อนชื่อผู้ใช้และรหัสผ่านโดยไม่ใส่YubiKey ที่ถูกต้อง การตรวจสอบสิทธิ์จะล้มเหลว และผู้ใช้จะได้รับข้อความแสดงข้อผิดพลาด

หากบัญชีของผู้ใช้ได้รับการกำหนดค่าสำหรับการเข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsและหากมีการสร้างรหัสกู้คืนและผู้ใช้ทำ YubiKey หาย พวกเขาสามารถใช้รหัสกู้คืนเพื่อตรวจสอบสิทธิ์ได้ ผู้ใช้ปลายทางปลดล็อกคอมพิวเตอร์ด้วยชื่อผู้ใช้ รหัสการกู้คืน และรหัสผ่าน

จนกว่าจะมี การกำหนดค่า YubiKey ใหม่ ผู้ใช้ปลายทางจะต้องป้อนรหัสกู้คืนทุกครั้งที่เข้าสู่ระบบ

หาก การ เข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsตรวจไม่พบว่า มีการแทรก YubiKeyอาจเป็นเพราะคีย์ไม่ได้ เปิดใช้งานโหมด OTPหรือคุณไม่ได้ใส่YubiKeyแต่แทนที่จะเป็นรหัสความปลอดภัย^{(Security Key)}ซึ่งเข้ากันไม่ได้กับแอปพลิเคชันนี้ ใช้ แอปพลิเคชัน YubiKey Manager  เพื่อให้แน่ใจว่าYubiKeys ทั้งหมดที่ จะจัดเตรียมมีการเปิดใช้งานอินเทอร์เฟซOTP

สำคัญ^(Important) : วิธีการลงชื่อเข้าใช้ทางเลือกที่Windows รองรับ^(Windows)จะไม่ได้รับผลกระทบ ดังนั้น คุณต้องจำกัดวิธีการเข้าสู่ระบบภายในและระยะไกลเพิ่มเติมสำหรับบัญชีผู้ใช้ที่คุณกำลังปกป้องด้วยการเข้าสู่ระบบ Yubico^{(Yubico Login)}สำหรับWindowsเพื่อให้แน่ใจว่าคุณไม่ได้เปิด 'ประตูหลัง' ทิ้งไว้

หากคุณลองใช้ YubiKey โปรดแจ้งให้เราทราบประสบการณ์ของคุณในส่วนความคิดเห็นด้านล่าง^{(If you try out YubiKey, let us know your experience in the comments section below.)}

Configure & use YubiKey Secure Login for Local Account in Windows 10

Users can use hardware seсurity kеys, manufactured by Swedish company Yubico to log into a Local account on Windows 10. The company recently released the first stable version of the Yubico Login for Windows application. In this post, we will show you how to install and configure YubiKey for use on Windows 10 PCs.

YubiKey is a hardware authentication device that supports one-time passwords, public-key encryption and authentication, and the Universal 2nd Factor (U2F) and FIDO2 protocols developed by the FIDO Alliance. It allows users to securely log in to their accounts by emitting one-time passwords or using a FIDO-based public/private key pair generated by the device. YubiKey also allows for storing static passwords for use at sites that do not support one-time passwords. Facebook uses YubiKey for employee credentials, and Google supports it for both employees and users. Some password managers support YubiKey. Yubico also manufactures the Security Key, a device similar to the YubiKey, but focused on public-key authentication.

YubiKey allows users to sign, encrypt, and decrypt messages without exposing the private keys to the outside world. This feature was previously available only for Mac & Linux users.

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. A YubiKey USB hardware .
2. Yubico Login software for Windows.
3. YubiKey Manager software.

All of them are available on yubico.com under their Products tab. Also, you should note that the YubiKey app does not support local Windows accounts managed by Azure Active Directory (AAD) or Active Directory (AD) as well as Microsoft Accounts.

YubiKey hardware authentication device

Before installing the Yubico Login for Windows software, make a note of your Windows username and password for the local account. The person who installs the software must have the Windows username and password for their account. Without these, nothing can be configured, and the account is inaccessible. The default behavior of the Windows credential provider is to remember your last login, so you do not have to type in the username.

For this reason, many people may not remember the username. However, once you install the tool and reboot, the new Yubico credential provider is loaded, so that both admins and end-users have actually to type in the username. For these reasons, not only the admin but also everybody whose account is to be configured via Yubico Login for Windows should check to ensure that they can log in using the Windows username and password for their local account BEFORE the admin installs the tool and configures end-users’ accounts.

It’s also imperative to note that, once Yubico Login for Windows has been configured, there is:

• No Windows Password Hint
• No way to reset passwords
• No Remember Previous User/Login function.

Additionally, Windows automatic login is not compatible with Yubico Login for Windows. If a user whose account was set up for automatic login no longer remembers their original password when the Yubico Login for Windows configuration takes effect, the account can no longer be accessed. Address this issue preemptively by:

• Having users set new passwords before disabling automatic login.
• Have all users verify they can access their accounts with username and their new password before you use Yubico Login for Windows to configure their accounts.

Administrator permissions are required to install the software.

YubiKey Installation

First, verify your username. Once you have installed Yubico Login for Windows and rebooted, you will need to enter this in addition to your password to log in. To do this, open Command Prompt or PowerShell from the Start menu and run the command below

whoami

Take note of the full output, which should be in the form DESKTOP-1JJQRDF\jdoe, where jdoe is the username.

1. Download the Yubico Login for Windows software from here.
2. Run the installer by double-clicking on the download.
3. Accept the end-user license agreement.
4. In the installation wizard, specify the destination folder location or accept the default location.
5. Restart the machine on which the software has been installed. After the restart, the Yubico credential provider presents the login screen that prompts for the YubiKey.

Because the YubiKey has not yet been provisioned, you must switch user and enter not only the password for your local Windows account, but also your username for that account. If necessary, you may have to change Microsoft Account to Local Account.

After you have logged in, search for “Login Configuration” with the green icon. (The item actually labeled Yubico Login for Windows is just the installer, not the application.)

YubiKey Configuration

Administrator permissions are required to configure the software.
Only accounts that are supported can be configured for Yubico Login for Windows. If you launch the configuration wizard, and the account you are looking for is not displayed, it is not supported and therefore not available for configuration.

During the configuration process, the following will be required;

• Primary and Backup Keys: Use a different YubiKey for each registration. If you are configuring backup keys, each user should have one YubiKey for the primary and a second one for the backup key.
• Recovery Code: A recovery code is a last-resort mechanism to authenticate a user if all YubiKeys have been lost. Recovery codes can be assigned to the users you specify; however, the recovery code is only usable if the username and password for the account are also available. The option to generate a recovery code is presented during the configuration process.

Step 1: In the Windows Start menu, select Yubico > Login Configuration.

Step 2: The User Account Control dialog appears. If you are running this from a non-Administrator account, you will be prompted for local administrator credentials. The Welcome page introduces the Yubico Login Configuration provisioning wizard:

Step 3: Click Next. The Default page of Yubico Windows Login Configuration appears.

Step 4: The configurable items are:

Slots: Select the slot where the challenge-response secret will be stored. All YubiKeys that have not been customized come pre-loaded with a credential in slot 1, so if you are using Yubico Login for Windows to configure YubiKeys that are already being used for logging into other accounts, do not overwrite slot 1.

Challenge/Response Secret: This item enables you to specify how the secret will be configured and where it will be stored. The options are:

• Use existing secret if configured – generate if not configured: The key’s existing secret will be used in the specified slot. If the device has no existing secret, the provisioning process will generate a new secret.
• Generate new, random secret, even if a secret is currently configured: A new secret will be generated and programmed to the slot, overwriting any previously configured secret.
• Manually input secret: For advanced users: During the provisioning process, the application will prompt you to input manually an HMAC-SHA1 secret (20 bytes – 40 characters hex-encoded).

Generate Recovery Code: For each user provisioned, a new recovery code will be generated. This recovery code enables the end-user to log in to the system if they have lost their YubiKey.
Note: If you select to save a recovery code while provisioning a user for a second key, any previous recovery code becomes invalid, and only the new recovery code will work.

Create Backup Device for Each User: Use this option to have the provisioning process register two keys for each user, a primary YubiKey and a backup YubiKey. If you do not want to provide recovery codes to your users, it is good practice to give each user a backup YubiKey. For more information, refer to the Primary and Backup Keys section above.

Step 5: Click Next, to select the user(s) to provision. The Select User Accounts page (If there are no local user accounts supported by Yubico Login for Windows, the list will be empty) appears.

Step 6: Select the user accounts to be provisioned during the current run of the Yubico Login for Windows by selecting the checkbox next to the username, and then click Next. The Configuring User page appears.

Step 7: The username shown in the Configuring User field shown above is the user for whom a YubiKey is currently being configured. As each username is displayed, the process prompts you to insert a YubiKey to register for that user.

Step 8: The Wait for Device page is shown while an inserted YubiKey is being detected and before it is registered for the user whose username is in the Configuring User field at the top of the page. If you have selected Create Backup Device for Each User in the Defaults page, the Configuring User field will also display which of the YubiKeys is being registered, Primary or Backup.

Step 9: If you have configured the provisioning process to use a manually specified secret, the field for the 40 hex-digit secrets is displayed. Enter the secret and click Next.

Step 10: The Programming Device page displays the progress of programming each YubiKey.  The Device Confirmation page shown below displays the details of the YubiKey detected by the provisioning process, including the device serial number (if available) and the configuration status of each One-Time Password (OTP) slot. If there are conflicts between what you have set as defaults and what is possible with the detected YubiKey, a warning symbol is displayed. If everything is good to go, a check mark will be shown. If the status line shows an error icon, the error is described, and instructions for fixing it are displayed on the screen.

Step 11: Once programming is complete for a user account, that account can no longer be accessed without the corresponding YubiKey. You are prompted to remove the YubiKey just configured, and the provisioning process automatically proceeds to the next user account/YubiKey combination.

Step 12: After all, the YubiKeys for the specified user account have been provisioned:

• If the Generate Recovery Code was selected on the Defaults page, the Recovery Code page is displayed.
• If Generate Recovery Code was not selected, the provisioning process would automatically continue to the next user account.
• The provisioning process moves to Finished after the last user account is done.

The recovery code is a long string. (To eliminate problems caused by the end-user mistaking the numeral 1 for lowercase letter L and 0 for the letter O, the recovery code is encoded in Base32, which treats alphanumeric characters that look similar as if they were the same.)

The Recovery Code page is displayed after all the YubiKeys for the specified user account has been configured.

Step 13: On the Recovery Code page, generate and set a recovery code for the selected user. Once this has been done, the Copy and Save buttons to the right of the recovery code field become available.

Step 14: Copy the recovery code and save it from being shared with the user and keep it in case the user loses it.

Note: Be sure to save the recovery code at this point in the process. Once you proceed to the next screen, it is not possible to retrieve the code.

Step 15: To move to the next user account from the Select Users page, click Next. When you have configured the last user, the provisioning process displays the Finished page.

Step 16: Give each user their recovery code. End-users should save their recovery code to a safe location accessible when they cannot log in.

YubiKey User Experience

When the local user account has been configured to require a YubiKey, the user is authenticated by the Yubico Credential Provider instead of the default Windows Credential Provider. The user is prompted to insert their YubiKey. Then the Yubico Login screen is presented. The user enters their username and password.

Note: It is not necessary to press the button on the YubiKey USB hardware to log in. In some instances, pressing the button causes the login to fail.

When the end-user logs in, they must insert the correct YubiKey into a USB port on their system. If the end-user enters their username and password without inserting the correct YubiKey, authentication will fail, and the user will be presented with an error message.

If an end user’s account is configured for Yubico Login for Windows, and if a recovery code was generated, and a user loses their YubiKey(s), they can use their recovery code to authenticate. The end-user unlocks their computer with their username, recovery code, and password.

Until a new YubiKey is configured, the end-user must enter the recovery code each time they log in.

If Yubico Login for Windows does not detect that a YubiKey has been inserted, it is likely due to the key not having OTP mode enabled, or you are not inserting a YubiKey, but instead a Security Key, which is not compatible with this application. Use the YubiKey Manager application to ensure that all the YubiKeys to be provisioned have the OTP interface enabled.

Important: Alternative sign-in methods supported by Windows will not be affected. You must, therefore, restrict additional local and remote login methods for the user accounts you are protecting with Yubico Login for Windows to ensure you have not left open any ‘back doors.’

If you try out YubiKey, let us know your experience in the comments section below.

Related posts

• View Security Questions and Answers สำหรับ Local Account ใน Windows 10

• วิธีติดตั้ง Windows 11 และ Windows 10 บนไดรฟ์ USB (Windows To Go)

• 3 วิธีในการบูตพีซี Windows 10 ของคุณจาก USB แฟลชไดรฟ์ -

• Switch User Option หายไปจาก Windows 10 login screen

• Reset Local Account password บน Windows 10 การใช้ Installation Media

• 7 วิธีในการปรับความสว่างหน้าจอใน Windows 10

• Windows 10 Night light: ทำอะไรและใช้งานอย่างไร -

• วิธีการเอาโทรศัพท์ของคุณจาก Windows 10 (โทรศัพท์ยกเลิกการเชื่อมโยง)

• เปิดใช้งานหรือปิดใช้งาน Secure Login ใน Windows 10

• 10 วิธีในการเปิด Device Manager ใน Windows 10

• วิธีแชร์เครื่องพิมพ์ของคุณกับเครือข่ายใน Windows 10

• วิธีเชื่อมต่อพีซี Windows 10 กับสมาร์ทโฟน Windows 10 Mobile โดยใช้ Bluetooth

• Connect an Android phone to a Windows 10 laptop or PC via Bluetooth

• วิธีเปิดบลูทูธใน Windows 10: 5 วิธี

• ฉันจะเชื่อมต่อ iPhone กับคอมพิวเตอร์ด้วย Windows 10 ได้อย่างไร

• อะแดปเตอร์ Best External Bluetooth สำหรับคอมพิวเตอร์ Windows 10

• วิธีการเลือกค่าเริ่มต้น GPU สำหรับการเล่นเกมหรือแอพใน Windows 10

• วิธีรับไฟล์ผ่านบลูทูธและวิธีค้นหาใน Windows 10 Mobile

• วิธีการใช้ Windows Mobility Center ใน Windows 10

• Processor ความถี่ไม่ตรงกันใน Windows 10