Windows Hello 使用户能够使用其生物特征或 PIN 进行身份验证，而无需密码。 生物识别身份验证使用面部识别或指纹以安全性、个人且方便的方式证明用户的身份。 增强型登录安全性通过利用专门的硬件和软件组件（例如 基于虚拟化的安全性 (VBS) 和 受信任的平台模块 2.0 ）来隔离和保护用户的身份验证数据并保护该数据的通信通道，从而为生物识别数据提供更高级别的安全性。

增强型登录安全性如何保护生物识别数据

启用增强型登录安全性后，人脸算法将使用 VBS 进行保护，以将其与 Windows 的其余部分隔离。 虚拟机监控程序用于指定和保护内存区域，这样只能由在 VBS 中运行的进程访问。 虚拟机监控程序允许人脸相机写入这些内存区域，提供一个独立的通道，以将人脸数据从照相机交付到人脸匹配算法。

人脸模板由受保护的人脸算法在 VBS 中生成。 不使用时，人脸模板数据使用生成的密钥进行加密，只有 VBS 可以访问，然后存储在磁盘上。

增强型登录安全性仅在具有匹配传感器功能的指纹传感器上受支持。 这种类型的传感器包括一个微处理器和内存，可用于使用硬件隔离指纹匹配和模板存储。

支持增强型登录安全性的传感器在制造期间嵌入了一个证书。 此证书可以通过在 VBS 中运行的 Windows 生物识别组件进行验证，并用于与传感器建立安全会话。 传感器和 Windows 生物识别组件使用此会话来安全地传达注册操作和匹配结果。

在 VBS 中运行的 Windows 生物识别组件使用 TPM 在启动期间与 VBS 共享的信息与 TPM 建立安全通道。 当匹配操作成功时，VBS 中的生物特征组件使用此通道来授权使用 Windows Hello 密钥来验证用户的身份提供者、应用程序和服务。

如何获得增强型登录安全性

能否启用取决于系统上预装的专用硬件、驱动程序和固件。 设备制造商可以在工厂配置设备期间选择在其设备上启用增强型登录安全性。

系统兼容性

启用增强型登录安全性需要兼容的硬件和软件组件：

生物识别传感器兼容性

人脸生物识别传感器

增强型登录安全性仅支持有限数量的芯片组上的某些红外摄像头。 支持的相机必须支持固件中的增强型登录安全性。 要求使用 Windows 收件箱 UVC 相机驱动程序。 要检查相机模块是否支持增强型登录安全性功能，请首先转到设备管理器并展开“通用串行总线控制器”部分。 右键单击名称中带有“可扩展主机控制器”的设备，然后选择“属性”选项以查看设备属性。 如果一个主机控制器有多个条目，请检查所有条目的属性部分。 导航到驱动程序的“详细信息”选项卡，然后从“属性”下拉菜单中选择“功能”。 其中一个设备应显示它具有“CM_DEVCAP_SECUREDEVICE”功能。

接下来，通过转到设备管理器中的“相机”部分来检查 PC 相机的属性部分。 如果一个电脑摄像头有多个条目，请检查所有条目的属性部分。 导航到驱动程序的“详细信息”选项卡，然后从“属性”下拉菜单中选择“功能”。 其中一台 PC 相机设备应具有“CM_DEVCAP_SECUREDEVICE”功能。

指纹生物识别传感器

具有增强型登录安全性功能的指纹传感器必须在芯片上匹配。 传感器在制造过程中必须将 Microsoft 颁发的证书烧录到设备中。 设备驱动程序和固件必须支持增强型登录安全性功能。 要检查指纹模块是否支持增强型登录安全性，首先打开设备管理器并展开“生物识别设备”部分。 应该有一个指纹传感器的条目。 右键单击指纹读取器条目，转到“属性”，然后转到“详细信息”。 在“属性”选项下，选择“设备实例路径”。

打开 regedit.exe 并导航到 HKLM\SYSTEM\CurrentControlSet\Enum\[DeviceInstancePath]\Device Parameters\WinBio\Configurations ，其中 DeviceInstancePath 是设备管理器中列出的路径。 选择“配置”。 应该列出一个名为“SecureFingerprint”的注册表项，其数据值为 1。 如果不存在，则该设备不具备安全功能。

配置下面还应该有两个文件夹：一个标记为“0”，一个标记为“1”。 如果只有一个文件夹而不是两个文件夹，则设备不具备安全功能。

我如何知道是否启用了增强型登录安全性

在 Windows 安全应用程序的“设备安全”部分，如果在系统上启用了增强型登录安全性，则会有一个条目。 此条目将描述系统的硬件功能。 如果“增强型登录安全性”部分不存在，则系统上未启用该功能。

如果设备中嵌入了不支持增强型登录安全性的生物识别传感器，或者系统中没有该类型的生物识别硬件，则会通过相应传感器旁边的“由于硬件不兼容而无法使用”说明进行指示. 此消息表明硬件不符合支持增强型登录安全性所需的传感器要求。

事件查看器

枚举系统上的每个传感器时，Windows 生物识别框架会生成日志事件。 这些日志包括指示传感器是否在启用增强型登录安全性的情况下运行的信息。 生物识别事件日志可在事件查看器中找到，位置是“事件查看器”>“应用程序和服务日志”>“Microsoft”>“Windows”>“生物识别”>“操作”。

REG ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WinBio" /v SupportPeripheralsWithEnhancedSignInSecurity /t REG_DWORD /d 1 /f
重启计算机
重启后，指纹注册将存在，但必须重新注册 Windows Hello 人脸。
如果要在内置传感器和外围设备之间切换，建议对未进行初始注册的任何外围设备执行“改进识别”操作。 这可确保每个传感器具有最合适的配置文件。
如果要停止使用外围设备并重新启用 ESS，请使用以下命令。 此操作需要执行一次。
打开“命令提示符”窗口，并以管理员身份允许：
REG ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WinBio" /v SupportPeripheralsWithEnhancedSignInSecurity /t REG_DWORD /d 0 /f
重启计算机
重启后，指纹注册将存在，但必须重新注册 Windows Hello 人脸。