Windows Hello 향상된 로그인 보안
Windows Hello를 사용하면 생체 인식 또는 PIN 인증을 사용할 수 있으므로 암호가 필요하지 않습니다. 생체 인식 인증은 얼굴 인식 또는 지문을 사용하여 안전하고 개인적이고 편리한 방식으로 사용자의 ID를 증명합니다.
ESS(향상된 로그인 보안)는 특수 하드웨어 및 소프트웨어 구성 요소를 사용하여 생체 인식 데이터에 추가 수준의 보안을 제공합니다. VBS(가상화 기반 보안) 및 신뢰할 수 있는 플랫폼 모듈 2.0 은 사용자의 인증 데이터를 격리 및 보호하고 데이터 통신 채널을 보호하는 데 사용됩니다.
강화된 로그인 보안에서 생체 인식 데이터를 보호하는 방법
ESS 및 얼굴 인식
ESS를 사용하도록 설정하면 얼굴 알고리즘은 VBS를 사용하여 보호되어 나머지 Windows에서 격리됩니다. 하이퍼바이저는 VBS에서 실행되는 프로세스에서만 액세스할 수 있도록 메모리 영역을 지정하고 보호하는 데 사용됩니다. 하이퍼바이저를 통해 얼굴 카메라에서 이러한 메모리 영역에 쓸 수 있으므로 얼굴 데이터를 카메라에서 얼굴 일치 알고리즘으로 전달하는 격리된 경로를 제공합니다.
얼굴 템플릿은 보호된 얼굴 알고리즘을 통해 VBS에서 생성됩니다. 사용하지 않을 때 얼굴 템플릿 데이터는 생성되고 VBS에서만 액세스할 수 있는 키를 사용하여 암호화된 다음, 디스크에 저장됩니다.
ESS 및 지문 인식
ESS는 센서 기능과 일치하는 지문 센서에서만 지원됩니다. 이 유형의 센서에는 하드웨어를 사용하여 지문 일치 및 템플릿 저장을 격리하는 데 사용할 수 있는 마이크로프로세서와 메모리가 포함됩니다.
ESS를 지원하는 센서에는 제조 중에 포함된 인증서가 있습니다. 인증서는 VBS에서 실행되는 Windows 생체 인식 구성 요소에서 유효성을 검사할 수 있으며 센서를 사용하여 보안 세션을 설정하는 데 사용됩니다. 센서 및 Windows 생체 인식 구성 요소는 세션을 사용하여 등록 작업을 전달하고 결과를 안전하게 일치합니다.
자격 증명 작업
VBS에서 실행되는 Windows 생체 인식 구성 요소는 부팅 중에 TPM에서 VBS와 공유하는 정보를 사용하여 TPM에 대한 보안 채널을 설정합니다. 일치하는 작업이 성공하면 VBS의 생체 인식 구성 요소는 보안 채널을 사용하여 ID 공급자, 애플리케이션 및 서비스를 사용하여 사용자를 인증하기 위한 Windows Hello 키의 사용 권한을 부여합니다.
향상된 로그인 보안 사용
ESS의 사용은 시스템에 미리 설치된 특수 하드웨어, 드라이버 및 펌웨어에 따라 달라집니다. 디바이스 제조업체는 팩터리에서 디바이스를 구성하는 동안 향상된 로그인 보안을 사용하도록 선택할 수 있습니다.
참고 항목
모든 부조종사+ PC에는 기본적으로 ESS가 사용하도록 설정되어 있습니다. 자세한 내용은 Copilot+ PC 하드웨어 요구 사항을 참조 하세요.
시스템 요구 사항
강화된 로그인 보안을 사용하도록 설정하려면 다음과 같은 호환되는 하드웨어 및 소프트웨어 구성 요소가 필요합니다.
- Device Guard 사용 및 신뢰할 수 있는 플랫폼 모듈 2.0을 포함하여 VBS(가상화 기반 보안)에 대한 요구 사항을 충족합니다.
- ESS를 지원하는 생체 인식 센서 하드웨어
- ESS와 호환되는 생체 인식 센서 드라이버
- 포함된 생체 인식 하드웨어에 대해 디바이스 제조업체가 구성한 SDEV(Secure Devices) ACPI 테이블 이 있는 디바이스 펌웨어
생체 인식 센서 호환성
얼굴 생체 인식 센서
ESS는 선택 범위의 IR 카메라와 함께 작동하도록 설계되었으며 특정 칩셋이 필요합니다. ESS를 지원하는 카메라에는 이 기능이 펌웨어에 기본 제공되어야 하며 운영 체제와 함께 제공되는 표준 Windows UVC 카메라 드라이버를 사용해야 합니다.
카메라 모듈이 ESS 지원인지 확인하려면 먼저 장치 관리자 이동하여 유니버설 직렬 버스 컨트롤러 섹션을 확장합니다. 이름에 eXtensible 호스트 컨트롤러가 있는 디바이스를 마우스 오른쪽 단추로 클릭하고 속성 옵션을 선택하여 디바이스 속성을 봅니다. 호스트 컨트롤러에 대한 항목이 여러개 있는 경우 모두에 대한 속성 섹션을 확인합니다. 드라이버의 세부 정보 탭으로 이동하고 속성 드롭다운 메뉴에서 기능을 선택합니다. 디바이스 중 하나에 기능이 표시됩니다 CM_DEVCAP_SECUREDEVICE .
다음으로, 장치 관리자 카메라 섹션으로 이동하여 PC 카메라의 속성 섹션을 확인합니다. PC 카메라에 대한 항목이 여러 개 있는 경우 모두에 대한 속성 섹션을 확인합니다. 드라이버의 세부 정보 탭으로 이동하고 속성 드롭다운 메뉴에서 기능을 선택합니다. PC 카메라 장치 중 하나에는 CM_DEVCAP_SECUREDEVICE 기능이 있어야 합니다.
지문 생체 인식 센서
ESS 지원 지문 센서는 칩에서 일치해야 합니다.
- 센서는 제조 중에 Microsoft에서 발급한 인증서를 디바이스에 태워야 합니다.
- 디바이스 드라이버 및 펌웨어는 향상된 로그인 보안 기능을 지원해야 합니다.
지문 모듈이 ESS 지원인지 확인하려면 먼저 장치 관리자 이동하여 생체 인식 디바이스 섹션을 확장합니다. 지문 센서에 대한 항목이 있습니다. 지문 판독기 항목을 마우스 오른쪽 단추로 클릭하고 속성>세부 정보로 이동합니다. 속성 옵션에서 디바이스 인스턴스 경로를 선택합니다.
regedit.exe 열고 장치 관리자 나열된 경로의 위치 DeviceInstancePath 로 이동합니다HKLM\SYSTEM\CurrentControlSet\Enum\[DeviceInstancePath]\Device Parameters\WinBio\Configurations. 구성을 선택합니다. 데이터 값1이 인 레지스트리 SecureFingerprint 키가 나열되어야 합니다. 디바이스가 없으면 디바이스를 보호할 수 없습니다.
또한 구성 아래에는 레이블이 지정된 폴더와 레이블1이 0 지정된 폴더가 두 개 있어야 합니다. 폴더가 하나뿐이고 두 폴더가 아닌 경우 디바이스는 보안이 지원되지 않습니다.
ESS를 사용할 수 있는지 확인
Security Center
ESS를 사용하는 경우 Windows 보안 애플리케이션의 Device Security 섹션에 향상된 로그인 보안 항목이 있습니다. 항목은 시스템의 하드웨어 기능에 대해 설명합니다. 향상된 로그인 보안 섹션이 없는 경우 이 기능은 시스템에서 사용하도록 설정되지 않습니다.
ESS를 지원하지 않는 생체 인식 센서가 디바이스에 포함되어 있거나 해당 유형의 생체 인식 하드웨어가 시스템에 없는 경우 해당 센서 옆에 호환되지 않는 하드웨어 설명으로 인해 사용할 수 없음으로 표시됩니다. 이 메시지는 하드웨어가 ESS를 지원하는 데 필요한 센서 요구 사항을 따르지 않음을 나타냅니다.
이벤트 뷰어
Windows 생체 인식 프레임워크는 시스템의 각 센서를 열거할 때 로그 이벤트를 생성합니다. 이러한 로그에는 센서가 강화된 로그인 보안이 사용하도록 설정된 상태에서 작동하는지 여부를 나타내는 정보가 포함됩니다. 생체 인식 이벤트 로그는 이벤트 뷰어 이벤트 뷰어>Applications and Services Logs>Microsoft>Windows>생체 인식 작업 아래에 있습니다.>
생체 인식 디바이스가 Windows 생체 인식 프레임워크에 의해 제대로 로드되는 경우 해당 센서에 대한 로그 이벤트 ID 1108 가 있습니다. 디바이스가 ESS를 사용하도록 설정된 상태에서 작동하는 경우 센서는 가상 보안 모드 프로세스에서 격리된 것으로 지정됩니다. 디바이스가 ESS를 사용하지 않는 경우 시스템 프로세스에서 격리된 것으로 지정됩니다.
이 경우 1108카메라는 Windows Hello Face 소프트웨어 디바이스(ROOT\WINDOWSHELLOFACESOFTWAREDRIVER\0000)를 사용하여 설명하고 지문 디바이스는 디바이스의 특정 모듈 및 디바이스 ID를 사용하여 설명합니다. 지문 디바이스의 경우 디바이스 ID는 디바이스 관리자의 생체 인식 디바이스>[지문 모듈]>속성>세부 정보>디바이스 인스턴스 경로 아래에 나열됩니다.
애플리케이션 호환성
ESS 지원 카메라가 있는 디바이스의 경우 SDEV(Secure Devices) 테이블이 필요합니다. SDEV 테이블이 구현되고 VBS가 켜진 경우 SDEV 테이블은 보안 커널에서 구문 분석되고 PCI(Peripheral Component Interconnect) 디바이스 구성 공간 액세스에 대한 제한 사항이 적용됩니다. 이러한 제한 사항은 악성 프로세스에서 SDEV 테이블에 지정된 보안 디바이스의 구성 공간을 조작하지 못하도록 방지하기 위해 설정됩니다.
Windows에서 명시적으로 지원되는 경우를 제외하고 PCI 구성 공간을 읽고 쓰려는 애플리케이션은 SDEV 테이블을 구문 분석하고 적용할 때 버그 검사를 수행합니다.
디바이스 이미지에 포함된 모든 드라이버와 소프트웨어는 이러한 소프트웨어 제한 사항을 고려하여 호환성을 테스트해야 합니다. Windows 업데이트, Microsoft Store 또는 디바이스 제조업체에서 허용하는 기타 채널을 통해 시스템에 배포되는 소프트웨어 또는 드라이버도 호환성을 확인해야 합니다. 이 확인이 없으면 시스템에서 예기치 않은 동작이 발생할 수 있습니다.
지원되지 않는 시나리오
비 ESS 지원 센서
ESS를 사용하도록 설정하면 ESS를 지원하는 생체 인식 센서만 시스템에서 작동합니다. 모든 비인식 센서는 Windows 생체 인식 프레임워크에 의해 열거되지 않습니다.
시스템에 포함되는 하드웨어와 강화된 로그인 보안이 기본적으로 사용되는지 여부에 대한 제조업체의 결정입니다. 생체 인식 형식이 차단되는 것에 대한 우려가 있는 경우 디바이스 제조업체에 지원을 요청하세요.
플러그형/주변 장치 생체 인식 센서
외부 지문 센서 또는 카메라 모듈에는 ESS가 지원되지 않습니다. ESS를 사용하도록 설정하면 외부 또는 주변 생체 인식 센서 작업이 보안 가능 여부에 관계없이 차단됩니다. ESS와 함께 주변 장치를 사용하여 Windows Hello로 로그인하려면 ESS 사용 안 함/사용 설정을 참조 하세요.
지문 센서에 대한 터치 입력 시 절전 모드 해제
WoT(Wake on Touch)는 지문 센서가 시스템을 깨우고 사용자가 센서를 두 번 만지지 않고도 로그인할 수 있는 기능입니다. 최신 대기를 지원하는 디바이스는 절전 모드 해제 센서 동작을 사용하도록 설정합니다.
KB5027303 Windows 11 버전 22H2부터 ESS 디바이스에서 WoT를 사용할 수 있습니다.
문제 해결
얼굴/지문 인증이 작동하지 않음
생체 인식 인증이 작동하지 않는 경우 먼저 VBS가 실행 중이고 보안 구성 요소가 시작되었는지 확인합니다. VBS가 실행 중인지 확인하려면 시스템 정보>시스템 요약을 엽니다. 실행 중으로 나열된 가상화 기반 보안에 대한 항목이 있어야 합니다.
또한 생체 인식 격리 신뢰 항목이 실행되고 있는지 확인합니다. 작업을 실행하는 시스템 정보>소프트웨어 환경>아래에 ngciso.exebioiso.exe 나열되어야 합니다. 이러한 검사 중 하나가 실패하면 시스템에서 향상된 로그인 보안 요구 사항을 충족하지 못할 수 있습니다. 3단계를 사용하여 생체 인식 서비스를 다시 시작합니다.
- 설정>로그인 옵션에서 작동하지 않는 등록을 제거하고 다시 등록합니다.
- Windows Hello Face/지문에 대한 항목을 사용할 수 없는 경우 Windows Hello Face와 호환되는 지문 스캐너를 찾을 수 없거나 이와 유사한 항목을 찾을 수 없는 경우 다음 단계를 진행합니다.
- 디바이스 관리자에서 센서는 생체 인식 디바이스 아래에 나열되어야 합니다. 디바이스의 이름을 마우스 오른쪽 단추로 클릭하여 드라이버를 다시 설치하고 디바이스 제거를 선택합니다. 디바이스를 다시 시작합니다. 이때 Windows에서 드라이버를 다시 설치하려고 합니다. 인증이 작동하는지 확인
- 생체 인식 서비스를 다시 시작하려면 먼저 로그인 옵션으로 이동하고 PIN을 제거하여 시스템에서 PIN을 제거합니다. 관리자 권한으로 명령 프롬프트를 열고 .를 입력합니다
net stop wbiosrvc && net start wbiosrvc. 지문 인증이 작동하는지 확인 - 디바이스에서 생체 인식이 아직 작동하지 않는 경우 피드백 허브를 사용하여 피드백 항목을 제출합니다.
보안 연결이 성공했는지 확인하려면 ESS가 사용되는지 확인 섹션을 참조하세요.
PIN이 작동하지 않음
로그인 옵션 아래 의 잠금 화면에서 PIN을 다시 설정할 수 있습니다. 이렇게 하려면 PIN을 제거하고 다시 추가합니다. 그러면 PIN 기능을 복원해야 하는 PIN 재설정이 표시됩니다.
ESS 사용 안 함/사용
KB5031455 Windows 11 버전 22H2부터 사용자는 디바이스에서 Windows Hello로 인증하기 위해 외부 주변 장치를 사용하려는 경우 일시적으로 ESS를 끌 수 있습니다.
설정 앱을 사용하여 ESS를 사용하지 않도록 설정할 수 있습니다. 설정 계정>>로그인 시작>옵션을 선택하거나 다음 바로 가기를 사용합니다.
추가 설정>에서 외부 카메라 또는 지문 판독기를 사용하여 로그인하면 ESS를 사용하거나 사용하지 않도록 설정할 수 있는 토글이 있습니다.
- 토글이 꺼져 있으면 ESS가 활성화되고 외부 주변 장치를 사용하여 로그인할 수 없습니다. Teams와 같은 앱 내에서 외부 주변 장치를 계속 사용할 수 있습니다.
- 토글이 켜지면 ESS가 비활성화되고 Windows Hello 호환 주변 장치를 사용하여 로그인할 수 있습니다.