Déployer Windows Hello Entreprise : choisir le bon modèle d'approbation et préparer la reprise
Windows Hello Entreprise est souvent la manière la plus simple de généraliser une authentification résistante au hameçonnage sur les postes Windows. Pourtant, nous rencontrons régulièrement des déploiements à moitié faits : modèle d'approbation inadapté à l'environnement hybride, code PIN trop faible, aucune procédure de réinitialisation. Voici les décisions à prendre avant de l'activer.
Pourquoi Windows Hello Entreprise est résistant au hameçonnage
Windows Hello Entreprise repose sur une paire de clés asymétriques générée sur le poste, dont la clé privée est protégée par le module TPM et ne quitte jamais la machine. Le code PIN ou la biométrie ne sont pas envoyés au réseau : ils servent uniquement à déverrouiller localement l'usage de cette clé. Il n'existe donc aucun secret réutilisable qu'un site de hameçonnage pourrait capturer et rejouer.
C'est pourquoi Entra ID le classe parmi les méthodes résistantes au hameçonnage, au même titre que les clés FIDO2 et l'authentification par certificat, et qu'il peut satisfaire une force d'authentification exigeant ce niveau dans l'accès conditionnel. Un code PIN court ne contredit pas ce principe : il n'a de valeur que sur un appareil précis, et le TPM limite les tentatives par son mécanisme anti-martèlement.
Le choix du modèle d'approbation
Pour les postes joints uniquement à Entra ID et sans besoin d'accès aux ressources locales, la question ne se pose pas. Dès qu'il faut obtenir des tickets Kerberos auprès d'Active Directory, il faut choisir un modèle :
- Approbation Kerberos cloud : Entra ID émet un ticket partiel que les contrôleurs de domaine échangent contre un ticket complet. Aucune infrastructure à clés publiques n'est nécessaire et il n'y a pas de délai de synchronisation des clés. C'est le modèle recommandé par Microsoft pour les nouveaux déploiements hybrides ; il exige la création d'un objet serveur Kerberos Entra dans chaque domaine et des contrôleurs de domaine à jour.
- Approbation par clé : la clé publique est synchronisée vers Active Directory par Entra Connect. Les contrôleurs de domaine doivent disposer de certificats adaptés, et un délai de synchronisation sépare l'enrôlement de la première connexion possible.
- Approbation par certificat : un certificat d'utilisateur est émis à partir de la clé Windows Hello. Plus lourd, ce modèle se justifie surtout par des besoins spécifiques, comme l'authentification par certificat en bureau à distance.
Un point de vigilance. L'objet serveur Kerberos Entra contient des clés sensibles, comparables à celles du compte krbtgt. Leur rotation doit être planifiée, et les comptes capables de les gérer doivent être traités comme du Tier 0.
La stratégie de code PIN et la biométrie
Les paramètres se définissent dans Intune, soit au niveau du locataire lors de l'inscription, soit par des stratégies ciblées, qui sont préférables pour garder la maîtrise. Points à fixer : longueur minimale (six chiffres est un minimum raisonnable), complexité éventuelle, interdiction des séquences simples, exigence d'un TPM matériel. Pour la biométrie, la sécurité de connexion renforcée, disponible sur le matériel compatible, isole le traitement des données biométriques. Évitez d'autoriser Windows Hello sans TPM : la protection de la clé repose alors sur le logiciel.
Le déploiement gagne à se faire par vagues : un groupe pilote composé de l'équipe informatique, puis des services volontaires, avant la généralisation. Le pilote révèle les surprises habituelles : postes anciens sans TPM 2.0, caméras incompatibles avec la reconnaissance faciale, applications métier qui redemandent un mot de passe, accès aux partages de fichiers qui échouent faute de configuration Kerberos correcte. Une courte communication aux utilisateurs, expliquant que le code PIN n'est pas un mot de passe et ne fonctionne que sur leur poste, réduit nettement les appels au support.
Réinitialisation et reprise
Un code PIN oublié ne doit pas générer un ticket au support à chaque fois. Le service de réinitialisation du code PIN de Microsoft permet une réinitialisation sans détruire le conteneur de clés, après authentification forte de l'utilisateur ; il doit être activé et consenti dans le locataire. Sans lui, la réinitialisation est destructive : l'utilisateur doit se réenrôler. Pensez aussi aux cas où l'utilisateur change de poste ou reçoit un poste réinstallé : un Temporary Access Pass permet un enrôlement sans mot de passe sur la nouvelle machine.
Les limites à connaître
Windows Hello Entreprise ne supprime pas le mot de passe : celui-ci existe toujours et reste utilisable tant qu'aucune mesure ne le restreint. L'étape suivante consiste à réduire les usages du mot de passe, par exemple en activant l'expérience sans mot de passe de Windows et en imposant des méthodes résistantes au hameçonnage dans l'accès conditionnel. Le bureau à distance demande aussi une attention particulière selon le modèle choisi ; vérifiez la documentation actuelle avant d'arbitrer.
Ce qu'un audit vérifie
- Le modèle d'approbation déployé et sa cohérence avec l'environnement hybride.
- La gestion de l'objet serveur Kerberos Entra : présence par domaine, rotation des clés, droits d'administration.
- La stratégie de code PIN, l'exigence d'un TPM matériel et la configuration de la biométrie.
- L'activation du service de réinitialisation du code PIN et les procédures de réenrôlement.
- La part des connexions réellement effectuées avec Windows Hello, et la persistance de connexions par mot de passe.