Käyttäjät voivat käyttää ruotsalaisen Yubicon^(Yubico) valmistamia laitteiston suojausavaimia kirjautuakseen paikalliselle tilille Windows 10 :ssä . Yritys julkaisi äskettäin ensimmäisen vakaan version Yubico Login for Windows -sovelluksesta^{(Login for Windows application)} . Tässä viestissä näytämme, kuinka YubiKey asennetaan ja määritetään käytettäväksi Windows 10 -tietokoneissa.

YubiKey on laitteistotodennuslaite, joka tukee kertakäyttöisiä salasanoja, julkisen avaimen salausta ja todennusta sekä FIDO Alliancen kehittämiä ^{(FIDO Alliance)}Universal 2nd Factor (U2F) - ja FIDO2- protokollia . Sen avulla käyttäjät voivat kirjautua sisään tililleen turvallisesti lähettämällä kertaluonteisia salasanoja tai käyttämällä laitteen luomaa FIDO-pohjaista julkista/yksityistä avainparia. YubiKey mahdollistaa myös staattisten salasanojen tallentamisen käytettäväksi sivustoissa, jotka eivät tue kertakäyttöisiä salasanoja. Facebook käyttää YubiKeyta^(YubiKey) työntekijöiden tunnistetiedoissa, ja Google tukee sitä sekä työntekijöille että käyttäjille. Jotkut salasananhallintaohjelmat tukevat YubiKeyä^(YubiKey) .Yubico valmistaa myös suojausavainta , joka on ^{(Security Key)}YubiKeyn^(YubiKey) kaltainen laite , mutta joka keskittyy julkisen avaimen todentamiseen.

YubiKeyn avulla käyttäjät voivat allekirjoittaa, salata ja purkaa viestejä paljastamatta yksityisiä avaimia ulkomaailmalle. Tämä ominaisuus oli aiemmin saatavilla vain Mac- ja Linux - käyttäjille.

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. YubiKey USB - laitteisto .
2. Yubico Login ohjelmisto Windowsille.
3. YubiKey Manager -ohjelmisto.

Kaikki ne ovat saatavilla yubico.com -sivustolta niiden Tuotteet^(Product) - välilehdeltä. Huomaa myös, että YubiKey- sovellus ei tue paikallisia Windows - tilejä, joita hallitsee Azure Active Directory ( AAD ) tai Active Directory (AD) eikä Microsoft-tilejä .

YubiKey- laitteistotodennuslaite

Ennen kuin asennat Yubico Login for Windows -ohjelmiston, kirjoita muistiin paikallisen tilin Windows -käyttäjänimesi ja salasanasi. Ohjelmiston asentavalla henkilöllä on oltava tilinsä Windows - käyttäjätunnus ja salasana. Ilman näitä mitään ei voida määrittää, eikä tiliä voi käyttää. Windowsin^(Windows) tunnistetietojen tarjoajan oletuskäyttäytyminen on muistaa viimeisin kirjautumisesi, joten sinun ei tarvitse kirjoittaa käyttäjänimeä.

Tästä syystä monet ihmiset eivät ehkä muista käyttäjänimeä. Kuitenkin, kun asennat työkalun ja käynnistät sen uudelleen, uusi Yubico- tunnistetietojen tarjoaja ladataan, joten sekä järjestelmänvalvojien että loppukäyttäjien on todella kirjoitettava käyttäjänimi. Näistä syistä ei vain järjestelmänvalvojan vaan myös kaikkien, joiden tili on määritettävä Yubico Login for Windows -sovelluksella , varmistaakseen, että he voivat kirjautua sisään käyttämällä paikallisen tilinsä Windows -käyttäjänimeä ja salasanaa ENNEN kuin järjestelmänvalvoja asentaa työkalun ja määrittää asetukset. - käyttäjien tilit.

On myös tärkeää huomata, että kun Yubico Login for Windows on määritetty, siellä on:

• Ei Windows-salasanavinkkiä
• Ei tapaa nollata salasanoja
• Ei Remember Previous User/Login .

Lisäksi Windowsin^(Windows) automaattinen sisäänkirjautuminen ei ole yhteensopiva Yubico Login for Windows -sovelluksen kanssa . Jos käyttäjä, jonka tili on määritetty automaattista sisäänkirjautumista varten, ei enää muista alkuperäistä salasanaansa Yubico Login for Windows -määrityksen tullessa voimaan, tiliä ei voi enää käyttää. Ratkaise^(Address) tämä ongelma ennaltaehkäisevästi seuraavasti:

• Käyttäjien on asetettava uudet salasanat ennen automaattisen kirjautumisen poistamista käytöstä.
• Pyydä kaikkia käyttäjiä varmistamaan, että he pääsevät tililleen käyttäjänimellään ja uudella salasanallaan, ennen kuin käytät Yubico Login for Windows -sovellusta tilien määrittämiseen.

Ohjelmiston asentamiseen tarvitaan järjestelmänvalvojan oikeudet.

YubiKeyn asennus

Vahvista ensin käyttäjätunnuksesi. Kun olet asentanut Yubico Login for Windows -sovelluksen ja käynnistetty uudelleen, sinun on annettava tämä salasanan lisäksi kirjautuaksesi sisään. Voit tehdä tämän avaamalla komentokehote^{(Command Prompt)} tai PowerShellin ^(PowerShell)Käynnistä^(Start) -valikosta ja suorittamalla alla olevan komennon.

whoami

Ota^(Take) huomioon koko tulos, jonka tulee olla muodossa DESKTOP-1JJQRDF\jdoe , jossa  jdoe  on käyttäjänimi.

1. Lataa^(Download) Yubico Login^{(Yubico Login)} for Windows -ohjelmisto täältä^(here) .
2. Suorita asennusohjelma kaksoisnapsauttamalla latausta.
3. Hyväksy loppukäyttäjän käyttöoikeussopimus.
4. Määritä ohjatussa asennustoiminnossa kohdekansion sijainti tai hyväksy oletussijainti.
5. Käynnistä uudelleen kone, johon ohjelmisto on asennettu. Uudelleenkäynnistyksen jälkeen Yubico- tunnistetietojen tarjoaja näyttää sisäänkirjautumisnäytön, joka kehottaa antamaan YubiKeyn^(YubiKey) .

Koska YubiKeyä^(YubiKey) ei ole vielä varattu, sinun on vaihdettava käyttäjää ja syötettävä paikallisen Windows - tilisi salasanan lisäksi myös kyseisen tilin käyttäjänimesi. Tarvittaessa saatat joutua muuttamaan Microsoft-tilin paikalliseksi tiliksi .

Kun olet kirjautunut sisään, etsi "Kirjautumisasetukset" vihreällä kuvakkeella. ( Yubico Login for Windows -niminen kohde on vain asennusohjelma, ei sovellus.)

YubiKey-asetukset

^{(Administrator)}Ohjelmiston määrittämiseen tarvitaan järjestelmänvalvojan oikeudet.
Vain tuetut tilit voidaan määrittää Yubico Login for Windowsille^(Windows) . Jos käynnistät ohjatun määritystoiminnon eikä etsimääsi tiliä näytetä, sitä ei tueta, joten se ei ole käytettävissä määrityksessä.

Määritysprosessin aikana vaaditaan seuraavat:

• Ensisijainen ja vara-avain^{(Primary and Backup Keys)} : Käytä eri YubiKey -avainta jokaiseen rekisteröintiin. Jos määrität vara-avaimia, jokaisella käyttäjällä tulee olla yksi YubiKey ensisijaiselle avaimelle ja toinen varaavaimelle.
• Palautuskoodi^{(Recovery Code)} : Palautuskoodi on viimeinen keino todentaa käyttäjä, jos kaikki YubiKeys ovat kadonneet. Palautuskoodit^(Recovery) voidaan määrittää määrittämillesi käyttäjille. palautuskoodia voi kuitenkin käyttää vain, jos tilin käyttäjätunnus ja salasana ovat myös saatavilla. Mahdollisuus luoda palautuskoodi esitetään konfigurointiprosessin aikana.

Vaihe 1: Valitse Windowsin Käynnistä^(Start) - valikosta Yubico > Kirjautumisasetukset^{(Login Configuration)} .

Vaihe 2: Käyttäjätilien valvonta^{(User Account Control)} -valintaikkuna tulee näkyviin. Jos käytät tätä muulla kuin järjestelmänvalvojatilillä, sinua pyydetään antamaan paikallisen järjestelmänvalvojan tunnistetiedot. Tervetuloa-sivulla esitellään ohjattu Yubico Login Configuration -määritystoiminto^{(Yubico Login Configuration)} :

Vaihe 3: Napsauta Seuraava^(Next) . Yubico Windows Login Configuration -oletussivu ^{(Yubico Windows Login Configuration)}tulee^(Default) näkyviin .

Vaihe 4: Määritettävät kohteet ovat:

Slots : Valitse paikka, johon haaste-vastauksen salaisuus tallennetaan. Kaikki YubiKeys, joita ei ole mukautettu, tulevat valmiiksi ladatulla tunnistetiedolla paikkaan 1, joten jos käytät Yubico Login for Windowsia^(Windows) määrittääksesi YubiKey-avaimet, joita jo käytetään kirjautumiseen muille tileille, älä korvaa paikkaa 1.

Challenge/Response Secret : Tämän kohdan avulla voit määrittää, kuinka salaisuus konfiguroidaan ja mihin se tallennetaan. Vaihtoehdot ovat:

• Käytä olemassa olevaa salaisuutta, jos se on määritetty – luo, jos ei ole määritetty^{(Use existing secret if configured – generate if not configured)} : Avaimen olemassa olevaa salaisuutta käytetään määritetyssä paikassa. Jos laitteessa ei ole olemassa olevaa salaisuutta, hallintaprosessi luo uuden salaisuuden.
• Luo uusi, satunnainen salaisuus, vaikka salaisuus olisi tällä hetkellä määritetty^{(Generate new, random secret, even if a secret is currently configured)} : Uusi salaisuus luodaan ja ohjelmoidaan paikkaan, joka korvaa kaikki aiemmin määritetyt salaisuudet.
• Syötä salaisuus manuaalisesti^{(Manually input secret)} :  Edistyneet käyttäjät^{(For advanced users)} : Valmisteluprosessin aikana sovellus kehottaa syöttämään manuaalisesti HMAC-SHA1-salaisuuden (20 tavua – 40 merkkiä heksakoodattu).

Luo palautuskoodi^{(Generate Recovery Code)} : Jokaiselle käyttäjälle luodaan uusi palautuskoodi. Tämän palautuskoodin avulla loppukäyttäjä voi kirjautua sisään järjestelmään, jos hän on kadottanut YubiKeyn.
Huomautus: Jos valitset palautuskoodin tallentamisen samalla, kun annat käyttäjälle toisen avaimen, kaikki aiempi palautuskoodi ei kelpaa ja vain uusi palautuskoodi toimii.

Luo varmuuskopiolaite kullekin käyttäjälle^{(Create Backup Device for Each User)} : Käytä tätä vaihtoehtoa, jos haluat, että hallintaprosessi rekisteröi kullekin käyttäjälle kaksi avainta, ensisijaisen YubiKeyn^(YubiKey) ja vara -YubiKeyn^(YubiKey) . Jos et halua antaa palautuskoodeja käyttäjillesi, on hyvä käytäntö antaa jokaiselle käyttäjälle varmuuskopio YubiKey . Katso lisätietoja yllä olevasta Ensisijaiset^(Primary) ja vara-avaimet^{(Backup Keys)}  -osiosta.

Vaihe 5: Valitse luotavat käyttäjät napsauttamalla Seuraava^(Next) . Valitse käyttäjätilit^{(Select User Accounts)} -sivu (jos Yubico Login^{(Yubico Login)} for Windows ei tue paikallisia käyttäjätilejä , luettelo on tyhjä).

Vaihe 6: Valitse nykyisen Yubico Login for Windows -ajon aikana käytettävät käyttäjätilit valitsemalla käyttäjänimen vieressä oleva valintaruutu ja napsauta sitten Seuraava^(Next) . Configuring User -sivu tulee näkyviin .

Vaihe 7: Yllä olevassa Configuring User -kentässä näkyvä käyttäjätunnus on käyttäjä, jolle YubiKeyä parhaillaan konfiguroidaan. Kun jokainen käyttäjätunnus näytetään, prosessi kehottaa sinua lisäämään YubiKeyn rekisteröidäksesi kyseiselle käyttäjälle.

Vaihe 8: Odota laitetta^{(Wait for Device)} -sivu näytetään, kun lisättyä YubiKey-avainta havaitaan ja ennen kuin se rekisteröidään käyttäjälle, jonka käyttäjätunnus on Sivun yläreunan Käyttäjän määritys -kentässä. ^{(Configuring User)}Jos olet valinnut Oletusarvot^(Defaults) - sivulla Luo varmuuskopiolaite kullekin käyttäjälle^{(Create Backup Device for Each User)} , Configuring User -kentässä näkyy myös, mikä YubiKeys on rekisteröity, ensisijainen^(Primary) vai varmuuskopio^(Backup) .

Vaihe 9: Jos olet määrittänyt valmisteluprosessin käyttämään manuaalisesti määritettyä salaisuutta, 40 heksanumeroisen salaisuuden kenttä tulee näkyviin. Kirjoita salaisuus ja napsauta Seuraava^(Next) .

Vaihe 10: Ohjelmointilaite^{(Programming Device)} -sivu näyttää kunkin YubiKeyn^(YubiKey) ohjelmoinnin edistymisen . Alla näkyvällä Laitteen vahvistussivulla^{(Device Confirmation)} näkyvät valmisteluprosessin havaitseman YubiKeyn^(YubiKey) tiedot , mukaan lukien laitteen sarjanumero (jos saatavilla) ja kunkin kertakäyttöisen salasanan^{(One-Time Password)} ( OTP ) paikan konfigurointitila. Jos oletusasetuksiksi määrittämäsi ja havaitun YubiKeyn^(YubiKey) mahdollisen välillä on ristiriitoja , näyttöön tulee varoitussymboli. Jos kaikki on kunnossa, näkyviin tulee valintamerkki. Jos tilarivillä näkyy virhekuvake, virhe on kuvattu ja ohjeet sen korjaamiseksi näytetään näytöllä.

Vaihe 11: Kun käyttäjätilin ohjelmointi on valmis, tiliä ei voi enää käyttää ilman vastaavaa YubiKeyä^(YubiKey) . Sinua kehotetaan poistamaan juuri määritetty YubiKey , ja hallintaprosessi etenee automaattisesti seuraavaan käyttäjätiliin/ YubiKey- yhdistelmään.

Vaihe 12: Loppujen lopuksi määritetyn käyttäjätilin YubiKeys on varattu:^(YubiKeys)

• Jos Generate Recovery Code  on valittuna Oletusarvot^(Defaults) - sivulla, Palautuskoodi^{(Recovery Code)} - sivu tulee näkyviin.
• Jos  Luo palautuskoodia^{(Generate Recovery Code)}  ei valittu, hallintaprosessi jatkuu automaattisesti seuraavalle käyttäjätilille.
• Käyttöönottoprosessi siirtyy  Valmis^(Finished) -tilaan,  kun viimeinen käyttäjätili on valmis.

Palautuskoodi on pitkä merkkijono. (Jotta loppukäyttäjä sekoittaa numeron 1 pieneen kirjaimeen L ja 0 kirjaimeen O, palautuskoodi on koodattu Base32 :een , joka käsittelee samanlaisilta näyttäviä aakkosnumeerisia merkkejä ikään kuin ne olisivat samoja, jotta loppukäyttäjän aiheuttamat ongelmat voidaan poistaa.

Palautuskoodi -sivu tulee näkyviin, kun määritetyn käyttäjätilin kaikki YubiKeys-avaimet on määritetty ^{(Recovery Code)}.^(YubiKeys)

Vaihe 13: Luo ja aseta palautuskoodi valitulle käyttäjälle Palautuskoodi-sivulla . ^{(Recovery Code)}Kun tämä on tehty, Kopioi-^(Copy)  ja  Tallenna^(Save) -painikkeet palautuskoodikentän oikealla puolella ovat käytettävissä.

Vaihe 14: Kopioi palautuskoodi ja tallenna se, jotta sitä ei jaeta käyttäjän kanssa, ja säilytä se siltä varalta, että käyttäjä kadottaa sen.

Huomautus^(Note) : Muista tallentaa palautuskoodi prosessin tässä vaiheessa. Kun siirryt seuraavaan näyttöön, koodia ei voi noutaa.

Vaihe 15: Siirry seuraavaan käyttäjätiliin Valitse käyttäjät^{(Select Users)} -sivulta napsauttamalla Seuraava^(Next) . Kun olet määrittänyt viimeisen käyttäjän, hallintaprosessi näyttää Valmis^(Finished) - sivun.

Vaihe 16: Anna jokaiselle käyttäjälle palautuskoodi. Loppukäyttäjien tulee tallentaa palautuskoodinsa turvalliseen paikkaan, joka on käytettävissä, kun he eivät voi kirjautua sisään.

YubiKeyn käyttökokemus

Kun paikallinen käyttäjätili on määritetty vaatimaan YubiKeyn^(YubiKey) , Yubico Credential Provider todentaa käyttäjän^{(Yubico Credential Provider)} oletusarvoisen Windows Credential Providerin sijaan . Käyttäjää kehotetaan lisäämään YubiKey . Sitten Yubico Login -näyttö avautuu. Käyttäjä syöttää käyttäjätunnuksensa ja salasanansa.

Huomautus : ^(Note)YubiKey USB -laitteiston painiketta ei tarvitse painaa kirjautuaksesi sisään. Joissain tapauksissa painikkeen painaminen aiheuttaa kirjautumis epäonnistumisen.

Kun loppukäyttäjä kirjautuu sisään, hänen on asetettava oikea YubiKey järjestelmänsä USB -porttiin. Jos loppukäyttäjä syöttää käyttäjätunnuksensa ja salasanansa syöttämättä oikeaa YubiKeyä^(YubiKey) , todennus epäonnistuu ja käyttäjälle näytetään virheilmoitus.

Jos loppukäyttäjän tili on määritetty Yubico Login for Windowsille^(Windows) ja jos palautuskoodi luotiin ja käyttäjä kadottaa YubiKey-avaimensa, hän voi käyttää palautuskoodiaan todentamiseen. Loppukäyttäjä avaa tietokoneensa lukituksen käyttäjätunnuksellaan, palautuskoodillaan ja salasanallaan.

Ennen kuin uusi YubiKey on määritetty, loppukäyttäjän on syötettävä palautuskoodi joka kerta, kun he kirjautuvat sisään.

Jos Yubico Login for Windows ei havaitse, että YubiKey on asetettu, se johtuu todennäköisesti siitä, että avaimessa ei ole OTP - tilaa käytössä, tai et lisää YubiKeyä^(YubiKey) vaan suojausavainta^{(Security Key)} , joka ei ole yhteensopiva tämän sovelluksen kanssa. Käytä YubiKey Manager  -sovellusta varmistaaksesi, että kaikissa varustetuissa YubiKeysissä^(YubiKeys) on OTP - liitäntä käytössä.

Tärkeää^(Important) : Tämä ei vaikuta Windowsin^(Windows) tukemiin vaihtoehtoisiin kirjautumistapoihin . Sinun on siksi rajoitettava muita paikallisia ja etäkirjautumismenetelmiä käyttäjätileille, joita suojaat Yubico Login^{(Yubico Login)} for Windows -sovelluksella , jotta et ole jättänyt avoimia "takaovia".

Jos kokeilet YubiKeyta, kerro meille kokemuksesi alla olevassa kommenttiosassa.^{(If you try out YubiKey, let us know your experience in the comments section below.)}

Configure & use YubiKey Secure Login for Local Account in Windows 10

Users can use hardware security keys, manufactured by Swedish company Yubico to log into a Local account on Windows 10. The company recently released the first stable version of the Yubico Login for Windows application. In this post, we will show you how to install and configure YubiKey for use on Windows 10 PCs.

YubiKey is a hardware authentication device that supports one-time passwords, public-key encryption and authentication, and the Universal 2nd Factor (U2F) and FIDO2 protocols developed by the FIDO Alliance. It allows users to securely log in to their accounts by emitting one-time passwords or using a FIDO-based public/private key pair generated by the device. YubiKey also allows for storing static passwords for use at sites that do not support one-time passwords. Facebook uses YubiKey for employee credentials, and Google supports it for both employees and users. Some password managers support YubiKey. Yubico also manufactures the Security Key, a device similar to the YubiKey, but focused on public-key authentication.

YubiKey allows users to sign, encrypt, and decrypt messages without exposing the private keys to the outside world. This feature was previously available only for Mac & Linux users.

To configure/set up YubiKey on Windows 10, you’ll need the following:

1. A YubiKey USB hardware .
2. Yubico Login software for Windows.
3. YubiKey Manager software.

All of them are available on yubico.com under their Products tab. Also, you should note that the YubiKey app does not support local Windows accounts managed by Azure Active Directory (AAD) or Active Directory (AD) as well as Microsoft Accounts.

YubiKey hardware authentication device

Before installing the Yubico Login for Windows software, make a note of your Windows username and password for the local account. The person who installs the software must have the Windows username and password for their account. Without these, nothing can be configured, and the account is inaccessible. The default behavior of the Windows credential provider is to remember your last login, so you do not have to type in the username.

For this reason, many people may not remember the username. However, once you install the tool and reboot, the new Yubico credential provider is loaded, so that both admins and end-users have actually to type in the username. For these reasons, not only the admin but also everybody whose account is to be configured via Yubico Login for Windows should check to ensure that they can log in using the Windows username and password for their local account BEFORE the admin installs the tool and configures end-users’ accounts.

It’s also imperative to note that, once Yubico Login for Windows has been configured, there is:

• No Windows Password Hint
• No way to reset passwords
• No Remember Previous User/Login function.

Additionally, Windows automatic login is not compatible with Yubico Login for Windows. If a user whose account was set up for automatic login no longer remembers their original password when the Yubico Login for Windows configuration takes effect, the account can no longer be accessed. Address this issue preemptively by:

• Having users set new passwords before disabling automatic login.
• Have all users verify they can access their accounts with username and their new password before you use Yubico Login for Windows to configure their accounts.

Administrator permissions are required to install the software.

YubiKey Installation

First, verify your username. Once you have installed Yubico Login for Windows and rebooted, you will need to enter this in addition to your password to log in. To do this, open Command Prompt or PowerShell from the Start menu and run the command below

whoami

Take note of the full output, which should be in the form DESKTOP-1JJQRDF\jdoe, where jdoe is the username.

1. Download the Yubico Login for Windows software from here.
2. Run the installer by double-clicking on the download.
3. Accept the end-user license agreement.
4. In the installation wizard, specify the destination folder location or accept the default location.
5. Restart the machine on which the software has been installed. After the restart, the Yubico credential provider presents the login screen that prompts for the YubiKey.

Because the YubiKey has not yet been provisioned, you must switch user and enter not only the password for your local Windows account, but also your username for that account. If necessary, you may have to change Microsoft Account to Local Account.

After you have logged in, search for “Login Configuration” with the green icon. (The item actually labeled Yubico Login for Windows is just the installer, not the application.)

YubiKey Configuration

Administrator permissions are required to configure the software.
Only accounts that are supported can be configured for Yubico Login for Windows. If you launch the configuration wizard, and the account you are looking for is not displayed, it is not supported and therefore not available for configuration.

During the configuration process, the following will be required;

• Primary and Backup Keys: Use a different YubiKey for each registration. If you are configuring backup keys, each user should have one YubiKey for the primary and a second one for the backup key.
• Recovery Code: A recovery code is a last-resort mechanism to authenticate a user if all YubiKeys have been lost. Recovery codes can be assigned to the users you specify; however, the recovery code is only usable if the username and password for the account are also available. The option to generate a recovery code is presented during the configuration process.

Step 1: In the Windows Start menu, select Yubico > Login Configuration.

Step 2: The User Account Control dialog appears. If you are running this from a non-Administrator account, you will be prompted for local administrator credentials. The Welcome page introduces the Yubico Login Configuration provisioning wizard:

Step 3: Click Next. The Default page of Yubico Windows Login Configuration appears.

Step 4: The configurable items are:

Slots: Select the slot where the challenge-response secret will be stored. All YubiKeys that have not been customized come pre-loaded with a credential in slot 1, so if you are using Yubico Login for Windows to configure YubiKeys that are already being used for logging into other accounts, do not overwrite slot 1.

Challenge/Response Secret: This item enables you to specify how the secret will be configured and where it will be stored. The options are:

• Use existing secret if configured – generate if not configured: The key’s existing secret will be used in the specified slot. If the device has no existing secret, the provisioning process will generate a new secret.
• Generate new, random secret, even if a secret is currently configured: A new secret will be generated and programmed to the slot, overwriting any previously configured secret.
• Manually input secret: For advanced users: During the provisioning process, the application will prompt you to input manually an HMAC-SHA1 secret (20 bytes – 40 characters hex-encoded).

Generate Recovery Code: For each user provisioned, a new recovery code will be generated. This recovery code enables the end-user to log in to the system if they have lost their YubiKey.
Note: If you select to save a recovery code while provisioning a user for a second key, any previous recovery code becomes invalid, and only the new recovery code will work.

Create Backup Device for Each User: Use this option to have the provisioning process register two keys for each user, a primary YubiKey and a backup YubiKey. If you do not want to provide recovery codes to your users, it is good practice to give each user a backup YubiKey. For more information, refer to the Primary and Backup Keys section above.

Step 5: Click Next, to select the user(s) to provision. The Select User Accounts page (If there are no local user accounts supported by Yubico Login for Windows, the list will be empty) appears.

Step 6: Select the user accounts to be provisioned during the current run of the Yubico Login for Windows by selecting the checkbox next to the username, and then click Next. The Configuring User page appears.

Step 7: The username shown in the Configuring User field shown above is the user for whom a YubiKey is currently being configured. As each username is displayed, the process prompts you to insert a YubiKey to register for that user.

Step 8: The Wait for Device page is shown while an inserted YubiKey is being detected and before it is registered for the user whose username is in the Configuring User field at the top of the page. If you have selected Create Backup Device for Each User in the Defaults page, the Configuring User field will also display which of the YubiKeys is being registered, Primary or Backup.

Step 9: If you have configured the provisioning process to use a manually specified secret, the field for the 40 hex-digit secrets is displayed. Enter the secret and click Next.

Step 10: The Programming Device page displays the progress of programming each YubiKey.  The Device Confirmation page shown below displays the details of the YubiKey detected by the provisioning process, including the device serial number (if available) and the configuration status of each One-Time Password (OTP) slot. If there are conflicts between what you have set as defaults and what is possible with the detected YubiKey, a warning symbol is displayed. If everything is good to go, a check mark will be shown. If the status line shows an error icon, the error is described, and instructions for fixing it are displayed on the screen.

Step 11: Once programming is complete for a user account, that account can no longer be accessed without the corresponding YubiKey. You are prompted to remove the YubiKey just configured, and the provisioning process automatically proceeds to the next user account/YubiKey combination.

Step 12: After all, the YubiKeys for the specified user account have been provisioned:

• If the Generate Recovery Code was selected on the Defaults page, the Recovery Code page is displayed.
• If Generate Recovery Code was not selected, the provisioning process would automatically continue to the next user account.
• The provisioning process moves to Finished after the last user account is done.

The recovery code is a long string. (To eliminate problems caused by the end-user mistaking the numeral 1 for lowercase letter L and 0 for the letter O, the recovery code is encoded in Base32, which treats alphanumeric characters that look similar as if they were the same.)

The Recovery Code page is displayed after all the YubiKeys for the specified user account has been configured.

Step 13: On the Recovery Code page, generate and set a recovery code for the selected user. Once this has been done, the Copy and Save buttons to the right of the recovery code field become available.

Step 14: Copy the recovery code and save it from being shared with the user and keep it in case the user loses it.

Note: Be sure to save the recovery code at this point in the process. Once you proceed to the next screen, it is not possible to retrieve the code.

Step 15: To move to the next user account from the Select Users page, click Next. When you have configured the last user, the provisioning process displays the Finished page.

Step 16: Give each user their recovery code. End-users should save their recovery code to a safe location accessible when they cannot log in.

YubiKey User Experience

When the local user account has been configured to require a YubiKey, the user is authenticated by the Yubico Credential Provider instead of the default Windows Credential Provider. The user is prompted to insert their YubiKey. Then the Yubico Login screen is presented. The user enters their username and password.

Note: It is not necessary to press the button on the YubiKey USB hardware to log in. In some instances, pressing the button causes the login to fail.

When the end-user logs in, they must insert the correct YubiKey into a USB port on their system. If the end-user enters their username and password without inserting the correct YubiKey, authentication will fail, and the user will be presented with an error message.

If an end user’s account is configured for Yubico Login for Windows, and if a recovery code was generated, and a user loses their YubiKey(s), they can use their recovery code to authenticate. The end-user unlocks their computer with their username, recovery code, and password.

Until a new YubiKey is configured, the end-user must enter the recovery code each time they log in.

If Yubico Login for Windows does not detect that a YubiKey has been inserted, it is likely due to the key not having OTP mode enabled, or you are not inserting a YubiKey, but instead a Security Key, which is not compatible with this application. Use the YubiKey Manager application to ensure that all the YubiKeys to be provisioned have the OTP interface enabled.

Important: Alternative sign-in methods supported by Windows will not be affected. You must, therefore, restrict additional local and remote login methods for the user accounts you are protecting with Yubico Login for Windows to ensure you have not left open any ‘back doors.’

If you try out YubiKey, let us know your experience in the comments section below.

Related posts

• Katso paikallisen tilin suojauskysymykset ja vastaukset Windows 10:ssä

• Windows 11:n ja Windows 10:n asentaminen USB-asemaan (Windows To Go)

• 3 tapaa käynnistää Windows 10 -tietokoneesi USB-muistitikulta -

• Switch User -vaihtoehto puuttuu Windows 10:n kirjautumisnäytöstä

• Palauta paikallisen tilin salasana Windows 10:ssä asennusmedian avulla

• Windows 10 -tietokoneen yhdistäminen Windows 10 Mobile -älypuhelimeen Bluetoothin avulla

• Liitä Android-puhelin Windows 10 -kannettavaan tai PC:hen Bluetoothin kautta -

• Kuinka kirjata ulos muista käyttäjistä Windows 10:ssä

• BIOSin avaaminen Windows 10:ssä

• Windows 10 -yövalo: mitä se tekee ja miten sitä käytetään -

• Prosessorin merkin ja mallin selvittäminen Windows 10 -kannettavassa tietokoneessa

• Kuinka yhdistän iPhoneni tietokoneeseeni, jossa on Windows 10?

• Tiedostojen vastaanottaminen Bluetoothin kautta ja niiden löytäminen Windows 10 Mobilessa

• Verkkokameran testaaminen ja käyttäminen Windows 10:ssä Kamera-sovelluksella

• Kuinka mukauttaa äänimalleja Windows 10:lle -

• Prosessorin taajuudet eivät täsmää Windows 10:ssä

• Tarkista levyn (chkdsk) käyttäminen kiintolevyvirheiden testaamiseen ja korjaamiseen Windows 10:ssä -

• Continuumin käyttäminen Windows 10 Mobilessa ilman Microsoft Display Dockia

• Mistä löytää Windows 10:n virkistystaajuuden? Miten se vaihdetaan?

• Puhelimen poistaminen Windows 10:stä (puhelimen linkityksen poistaminen)