Waarom een wachtwoord op de laptop een zwakke plek is
Een wachtwoord is een geheim dat overal werkt: op de laptop, in de browser en op elke andere computer ter wereld. Wie het afkijkt, het via een nepinlogpagina buitmaakt of het in een gelekte lijst vindt, kan ermee aan de slag. Daarom is MFA zo belangrijk. Maar op de laptop zelf typen medewerkers nog steeds tientallen keren per week hun wachtwoord in. Dat nodigt uit tot korte wachtwoorden, briefjes onder het toetsenbord en meekijkende collega’s in de trein.
Wat Windows Hello for Business anders doet
Bij het instellen maakt Windows op de laptop een sleutelpaar aan. Het geheime deel blijft in de beveiligingschip van de laptop, de TPM, en kan daar niet uit worden gekopieerd. De pincode, vingerafdruk of gezichtsherkenning ontgrendelt alleen die sleutel. De pincode gaat dus nooit over het internet en werkt op geen enkel ander apparaat. Iemand die de pincode afkijkt, heeft er zonder de laptop zelf niets aan.
Omdat de aanmelding bestaat uit iets wat de medewerker heeft (de laptop) en iets wat hij weet of is (de pincode of biometrie), telt Windows Hello for Business als sterke verificatie. Microsoft rekent het tot de phishingbestendige methoden, net als passkeys. Na het aanmelden werken Outlook, Teams en SharePoint zonder extra wachtwoord, omdat Windows de aanmelding doorgeeft.
Pincode, vingerafdruk of gezicht?
Een pincode werkt op elke laptop met een TPM-chip, en dat zijn vrijwel alle zakelijke laptops van de afgelopen jaren. Vingerafdruk en gezichtsherkenning vragen een vingerafdruklezer of een infraroodcamera, zoals op veel zakelijke modellen. Een gewone webcam is voor gezichtsherkenning niet genoeg. Biometrische gegevens blijven op de laptop zelf en worden niet naar Microsoft gestuurd. Ook wie biometrie gebruikt, stelt altijd een pincode in als terugvaloptie.
Een Windows Hello-pincode mag langer en complexer zijn dan vier cijfers. In Intune stelt u de minimale lengte in, bijvoorbeeld zes tekens, en of letters en speciale tekens zijn toegestaan of verplicht. Na een aantal foute pogingen blokkeert de TPM verdere pogingen.
Zo zet u het aan met Intune
Windows Hello for Business werkt het eenvoudigst op laptops die aan Microsoft Entra ID zijn gekoppeld en in Intune worden beheerd, bijvoorbeeld via Windows Autopilot. In Intune zet u Windows Hello for Business aan voor de hele organisatie of met een beleid voor een groep, en legt u de pincoderegels vast. Bij de eerste aanmelding vraagt Windows de medewerker dan om met MFA te bevestigen wie hij is en een pincode in te stellen. Biometrie kan hij daarna toevoegen.
Begin met een kleine testgroep, bijvoorbeeld de directie of het IT-aanspreekpunt, en rol daarna per afdeling uit. Leg vooraf uit wat medewerkers gaan zien, zodat de vraag om een pincode niet als phishing wordt gemeld. Combineer het met BitLocker: de schijf is dan versleuteld en de aanmelding is gekoppeld aan het apparaat. Met voorwaardelijke toegang kunt u later zelfs eisen dat beheerders zich alleen phishingbestendig aanmelden.
Pincode vergeten, nieuwe laptop of nog een server op kantoor
Vergeet een medewerker de pincode, dan kiest hij op het aanmeldscherm voor pincode vergeten. Na een MFA-controle stelt hij zelf een nieuwe pincode in, zonder de helpdesk te bellen. Bij een nieuwe of herstelde laptop stelt de medewerker Windows Hello opnieuw in; de oude sleutel werkt op het nieuwe apparaat niet. Is een laptop kwijt of gestolen, dan is de pincode voor een vinder waardeloos zonder de juiste chip, en blokkeert u het apparaat in Intune.
Heeft u nog een server of NAS op kantoor die op Active Directory draait, dan is voor toegang tot die bestanden een extra koppeling nodig, de zogenoemde cloud Kerberos-vertrouwensrelatie. Vaak is dat een goed moment om na te denken over het uitfaseren van die server.
Hoe Floor ICT dit regelt
Floor ICT controleert eerst of uw laptops geschikt zijn: TPM-chip, Windows-versie, koppeling aan Entra ID en beheer in Intune. Daarna stellen we de pincoderegels en het gebruik van biometrie vast, testen we met een kleine groep en rollen we Windows Hello for Business per afdeling uit, met een korte uitleg voor medewerkers. We richten het zelf herstellen van de pincode in, nemen Windows Hello op in de uitrol van nieuwe laptops en regelen waar nodig de koppeling met een bestaande server. Zo melden medewerkers zich sneller én veiliger aan, zonder dat er een wachtwoord op een briefje hoeft.