Microsoft расширяет одну из самых малопонятных функций безопасности Windows 11. Начиная с августовского обновления 2026 года Enhanced Sign-in Security (ESS) поддержит совместимые внешние сканеры отпечатков пальцев — самый защищённый режим Windows Hello станет доступен устройствам без встроенной биометрии.
В чём разница между Windows Hello и ESS
Windows Hello и ESS используют одинаковый экран входа, но по-разному защищают биометрические данные. Обычный Windows Hello заменяет пароли криптографическими учётными данными, привязанными к доверенному платформенному модулю (TPM): распознавание лица и отпечатки лишь разблокируют эти учётные данные, а биометрические шаблоны остаются на устройстве. ESS надстраивает поверх этого ещё один слой: чувствительные биометрические операции выносятся в изолированные аппаратно-защищённые среды.
При включённом ESS алгоритмы распознавания лица выполняются в защищённой области памяти, совместимые сканеры отпечатков проводят сравнение внутри собственного железа, а канал между сенсором и операционной системой шифруется и изолируется с помощью Virtualization-Based Security (VBS) и TPM 2.0. ESS-совместимый сканер отпечатков — это устройство с выделенным защищённым процессором, шаблонами внутри, сертификатом Microsoft, подтверждающим доверенность железа, и шифрованным каналом связи с ОС: Windows получает не сырые биометрические данные, а готовый результат аутентификации.
Итог — меньшая поверхность атаки: даже получив повышенные привилегии, вредоносное ПО имеет меньше возможностей вмешаться в процесс биометрической аутентификации.
Почему поддержали именно сканеры
ESS по-прежнему не поддерживает внешние камеры Windows Hello. Страница поддержки Microsoft показывает, что расширенное распознавание лица опирается на конкретное железо, прошивку и защищённую память через VBS, тогда как ESS-сканеры отпечатков выполняют сравнение внутри сертифицированного устройства. Вероятно, поэтому внешние сканеры поддержали раньше камер.
Как включить
Путь стандартный: Settings > Accounts > Sign-in options. Если устройство поддерживает ESS, в разделе Additional settings нужно проверить состояние переключателя Enhanced sign-in security. Система может показать варианты Pending set up или Update PIN: в первом случае понадобится настроить распознавание отпечатков в разделе Ways to sign in, во втором — обновить PIN.
Важно: при переходе на ESS Windows удалит существующие не-ESS биометрические регистрации, PIN придётся обновить, а отпечатки зарегистрировать заново. Пока функция включена, периферия без поддержки ESS работать не будет.
Если устройство не поддерживает ESS, беспокоиться не о чем: стандартный Windows Hello остаётся одной из самых сильных потребительских систем аутентификации. А вот покупка нового сканера отпечатков — повод выбрать модель с поддержкой ESS: Microsoft явно расширяет эту экосистему, и такой аксессуар станет более перспективным вложением.
Источник: windowscentral.com