Đăng nhập bằng vân tay hay khuôn mặt trên laptop Windows 11 tiện lợi, nhưng ít ai để ý dữ liệu sinh trắc đó được cất giữ ở đâu. Enhanced Sign-in Security (ESS) là lớp bảo vệ bổ sung cho Windows Hello, tách luồng xác thực và mẫu sinh trắc khỏi phần còn lại của Windows bằng vùng nhớ cô lập do trình ảo hoá quản lý, tức VBS (Virtualization-based Security). Bài viết phân tích cơ chế ESS, cách đọc trạng thái, công tắc theo từng phiên bản Windows 11 và mối liên hệ với Recall trên Copilot+ PC.
Enhanced Sign-in Security cô lập dữ liệu sinh trắc trong vùng VBS
Windows Hello thông thường đã giữ mã PIN và mẫu sinh trắc trên chính thiết bị, không đồng bộ ra ngoài. Theo tài liệu Windows Hello Enhanced Sign-in Security của Microsoft, ESS nâng thêm một bậc bằng cách dùng VBS và chip TPM 2.0 để cô lập dữ liệu sinh trắc. Lớp này đồng thời bảo vệ kênh truyền giữa cảm biến sinh trắc và hệ điều hành. Microsoft mô tả mục tiêu là chặn nhóm tấn công tiêm mẫu giả, phát lại và can thiệp vào dữ liệu xác thực.
Với khuôn mặt, thuật toán nhận diện chạy trong VBS, trình ảo hoá khoanh vùng bộ nhớ riêng để camera ghi dữ liệu thẳng vào đó, mẫu khuôn mặt cũng được tạo trong VBS rồi mã hoá bằng khoá chỉ VBS truy cập được. Nhờ vậy, dữ liệu sinh trắc khuôn mặt không đi qua vùng nhớ mà phần mềm khác trong Windows đọc được. Với vân tay, ESS chỉ chấp nhận cảm biến so khớp ngay trên chip, mang chứng chỉ Microsoft nạp từ khâu sản xuất. Nguyên lý quét của từng loại cảm biến có trong bài Cảm biến vân tay và camera IR trên laptop - Đăng nhập sinh trắc an toàn tới đâu.
Khi so khớp thành công, thành phần sinh trắc trong VBS dùng kênh an toàn tới TPM, lập từ thông tin TPM chia sẻ lúc khởi động, để cho phép dùng khoá Windows Hello. Điều kiện nền gồm VBS, TPM 2.0, cảm biến cùng driver hỗ trợ ESS, riêng camera cần bảng ACPI SDEV do hãng cấu hình trong firmware. Bản thân VBS đòi hỏi CPU 64-bit có ảo hoá Intel VT-x hoặc AMD-V kèm SLAT, IOMMU và Secure Boot. Đây cũng là nền tảng của tính năng trong bài Memory Integrity trên laptop Windows 11 - Vì sao bị tắt và khi nào nên bật lại.
Kiểm tra laptop đang chạy ESS bằng Settings, Event Viewer và System Information
Cách nhanh là mở Settings, vào Accounts rồi Sign-in options, hoặc gõ lệnh ms-settings:signinoptions trong hộp Run. Nếu laptop đang bật Enhanced Sign-in Security, mục Enhanced sign-in security trong phần Additional settings hiển thị trạng thái On. Mục này chỉ xác nhận cấu hình hiện hành, chưa phản ánh việc cảm biến sinh trắc có đang chạy trong vùng cô lập hay không, nên cần thêm hai bước kiểm chứng ở tầng hệ thống.
Bước thứ hai là Event Viewer, theo đường dẫn Applications and Services Logs, Microsoft, Windows, Biometrics, Operational. Windows ghi một sự kiện mã 1108 cho mỗi cảm biến. Dòng mô tả ghi cảm biến được cô lập trong tiến trình Virtual Secure Mode nghĩa là ESS đang hoạt động, còn ghi tiến trình System nghĩa là chưa có ESS. Camera khuôn mặt xuất hiện dưới tên Windows Hello Face Software Device. Vì mỗi cảm biến có một sự kiện riêng, laptop có cả camera hồng ngoại lẫn đầu đọc vân tay sẽ hiện hai dòng 1108.
Bước thứ ba là System Information. Ở System Summary, dòng Virtualization-based security phải ở trạng thái Running, còn trong Running Tasks phải có hai tiến trình bioiso.exe và ngciso.exe. Microsoft gọi đây là các trustlet cô lập, tức tiến trình chạy trong vùng VBS phục vụ dữ liệu sinh trắc và khoá Windows Hello. Nếu sinh trắc ngừng nhận diện, Microsoft gợi ý lần lượt xoá rồi đăng ký lại, gỡ driver cảm biến trong Biometric devices rồi khởi động lại, hoặc gỡ PIN và chạy lệnh net stop wbiosrvc && net start wbiosrvc với quyền quản trị.
Công tắc ESS trên Windows 11 23H2 và 24H2 mang nghĩa ngược nhau
Từ Windows 11 phiên bản 24H2, công tắc nằm ở Settings, Accounts, Sign-in options, phần Additional settings, mang tên Enhanced sign-in security. Đặt On thì ESS bật, cảm biến không đạt chuẩn không đăng nhập được nhưng vẫn hoạt động trong ứng dụng như Teams. Đặt Off thì ESS tắt và thiết bị Windows Hello ngoài chuẩn được phép đăng nhập. Bảng dưới tóm tắt khác biệt giữa các phiên bản.
| Phiên bản Windows 11 | Tên mục trong Additional settings | Khi đặt On | Khi đặt Off |
|---|---|---|---|
| 23H2 | Sign in with an external camera or fingerprint reader | ESS tắt, thiết bị ngoài đăng nhập được | ESS bật, thiết bị ngoài bị chặn |
| 24H2 trở lên | Enhanced sign-in security | ESS bật, thiết bị ngoài chuẩn chỉ dùng trong ứng dụng | ESS tắt, thiết bị ngoài đăng nhập được |
| 24H2, chưa có cảm biến | Pending set up | Cảm biến đăng ký đầu tiên đạt ESS thì ESS bật | Cảm biến đầu tiên không đạt ESS thì ESS tắt |
Trên bản 23H2, mục tương ứng mang tên Sign in with an external camera or fingerprint reader và ý nghĩa đảo ngược. Đặt Off nghĩa là ESS đang bật và thiết bị ngoài bị chặn, đặt On nghĩa là ESS tắt để camera hoặc đầu đọc vân tay rời tương thích Hello đăng nhập được. Trước đó, bản 22H2 có cập nhật KB5031455 đã cho phép tạm tắt ESS để dùng thiết bị ngoài.
Nếu chưa có công tắc mà chỉ thấy dòng Pending set up, cảm biến được đăng ký đầu tiên sẽ quyết định trạng thái: cảm biến đạt ESS thì ESS bật, cảm biến không đạt thì ESS tắt. Tắt Enhanced Sign-in Security đồng nghĩa dữ liệu sinh trắc không còn được giữ trong vùng VBS như phần đầu bài mô tả, đổi lại thiết bị ngoài tương thích Hello hoạt động bình thường. Quyết định giữ hay tắt vì vậy phụ thuộc việc laptop có cần camera, đầu đọc vân tay rời hay có dùng Recall, vốn đòi hỏi đăng ký ESS.
Gắn đầu đọc vân tay rời đạt ESS sẽ xoá đăng ký cũ
Microsoft cho biết đầu đọc vân tay cắm rời có hỗ trợ ESS được chấp nhận trên phần cứng và hệ điều hành đáp ứng điều kiện. Giống cảm biến sinh trắc tích hợp, đầu đọc rời phải so khớp trên chip, có chứng chỉ Microsoft, driver và firmware hỗ trợ ESS. Khi cắm thiết bị, chủ laptop vào Settings, Accounts, Sign-in options, phần Additional settings. Nếu mã PIN cần làm mới, Windows hiện lời nhắc Update PIN ngay dưới mục Enhanced sign-in security, còn không thì mục này phải đang ở trạng thái Pending set up.
Trường hợp thiết bị chưa sẵn sàng cho ESS, Windows yêu cầu cập nhật. Theo Microsoft, khi cập nhật, toàn bộ đăng ký không thuộc ESS, tức dữ liệu sinh trắc đã lưu theo kiểu cũ, cùng thông tin xác thực đi kèm, chẳng hạn passkey, sẽ bị xoá, sau đó có thể tạo lại. Bước cuối là đăng ký vân tay trên chính đầu đọc đạt ESS để kích hoạt chế độ này. Vì passkey bị xoá, nên kiểm tra trước các tài khoản đang đăng nhập bằng passkey trên laptop.
ESS là cài đặt cấp hệ thống. Trên laptop nhiều tài khoản, chỉ cần một tài khoản dùng mức Windows Hello thông thường thì cả máy áp theo mức đó. Quản trị viên có thể nâng thiết bị lên ESS, nhưng mọi tài khoản phải đăng ký lại dữ liệu sinh trắc ở lần đăng nhập kế tiếp. Camera rời thì khác, Microsoft ghi rõ ESS không hỗ trợ mô-đun camera ngoài, và khi ESS bật, mọi thao tác của cảm biến sinh trắc ngoài chuẩn đều bị chặn.
Copilot+ PC bật sẵn ESS và Recall cần nó để giải mã
Theo Microsoft, mọi Copilot+ PC đều bật Enhanced Sign-in Security theo mặc định, dù một số mẫu có thể không tích hợp sẵn cảm biến sinh trắc đạt ESS. Mối liên hệ rõ ràng hơn cả nằm ở Recall, tính năng chụp màn hình định kỳ để tìm lại nội dung đã xem. Trang Manage Recall for Windows clients liệt kê điều kiện tối thiểu như bảng dưới.
| Hạng mục | Yêu cầu tối thiểu của Recall |
|---|---|
| Nền tảng | Copilot+ PC đạt chuẩn Secured-core |
| NPU | 40 TOPS |
| RAM | 16 GB |
| Bộ xử lý | 8 luồng xử lý logic |
| Dung lượng ổ | 256 GB |
| Dung lượng trống để bật Recall | 50 GB |
| Ngưỡng tạm dừng lưu ảnh chụp | Dưới 25 GB trống |
| Mã hoá ổ đĩa | Device Encryption hoặc BitLocker |
| Đăng nhập | Đăng ký Windows Hello ESS với ít nhất một phương thức sinh trắc |
Recall yêu cầu xác thực bằng Windows Hello trước khi mở ứng dụng và trước khi xem ảnh chụp, với ít nhất một phương thức khuôn mặt hoặc vân tay đã bật. Laptop không còn cảm biến sinh trắc nào được bật thì Recall không mở được vì thiếu bước xác thực này. Ảnh chụp chỉ bắt đầu được lưu sau khi chủ máy mở Recall và xác thực lần đầu. Đây là tính năng tuỳ chọn, cần sự đồng ý để lưu ảnh, còn trên thiết bị do doanh nghiệp quản lý thì Recall mặc định bị tắt và gỡ bỏ.
Ảnh chụp và cơ sở dữ liệu vector của Recall luôn được mã hoá. Khoá mã hoá do TPM bảo vệ, gắn với danh tính Windows Hello ESS của từng tài khoản và chỉ khả dụng bên trong VBS Enclave, nên tài khoản khác trên cùng laptop không giải mã được. Microsoft gọi cơ chế này là giải mã đúng lúc, được Enhanced Sign-in Security bảo vệ. Vai trò TPM có thể do chip rời, TPM firmware hoặc Pluton đảm nhận tuỳ nền tảng, khác biệt giữa các phương án này nằm trong bài Pluton trên laptop - Bộ xử lý bảo mật trong CPU khác TPM rời ở đâu.
ESS kéo theo yêu cầu riêng với driver, phần mềm và firmware laptop
Microsoft nêu rõ hãng sản xuất có thể bật Enhanced Sign-in Security ngay ở khâu cấu hình tại nhà máy, và việc này phụ thuộc phần cứng, driver, firmware chuyên dụng cài sẵn. Laptop chuẩn Secured-core thường hỗ trợ ESS. Nhận diện khuôn mặt qua ESS chỉ chạy trên một số tổ hợp chip và camera cụ thể, trong khi xác thực vân tay có mặt trên mọi loại bộ xử lý. Với camera tích hợp, ESS còn phụ thuộc bảng SDEV trong firmware nên không thể bổ sung chỉ bằng phần mềm.
Camera đạt ESS phải có hỗ trợ tích hợp trong firmware và dùng driver UVC chuẩn của Windows, còn driver cảm biến sinh trắc nói chung phải tương thích ESS. Về tương thích phần mềm, khi laptop có bảng SDEV và VBS đang chạy, ứng dụng nào đọc hoặc ghi vùng cấu hình PCI theo cách Windows không hỗ trợ sẽ gây lỗi dừng hệ thống, tức màn hình xanh. Vì vậy Microsoft yêu cầu hãng kiểm thử mọi driver và phần mềm cài sẵn, kể cả gói phát hành qua Windows Update hay Microsoft Store.
Một số tiện ích vẫn được duy trì khi kích hoạt ESS. Từ Windows 11 phiên bản 22H2 với bản cập nhật KB5027303, tính năng Wake on Touch, đánh thức laptop Modern Standby bằng chạm, đã khả dụng trên thiết bị có ESS. Tài liệu ESS áp dụng cho cả Windows 10 lẫn Windows 11, còn khi cảm biến sinh trắc bị chặn ngoài ý muốn, Microsoft khuyến nghị liên hệ hãng laptop để được hỗ trợ.
Câu hỏi thường gặp
Windows Hello không có ESS thì dữ liệu sinh trắc có bị gửi lên mạng không?
Không. Theo Windows 11 security book, mã PIN và dữ liệu sinh trắc luôn nằm trên thiết bị, không lưu hay truy cập được từ bên ngoài. ESS bổ sung lớp cô lập VBS và kênh an toàn tới TPM để chống tiêm mẫu giả, phát lại và can thiệp vào luồng xác thực.
Webcam rời có hoạt động khi Enhanced Sign-in Security đang bật không?
Webcam rời không đăng nhập Windows Hello được, vì ESS không hỗ trợ mô-đun camera ngoài. Trên Windows 11 phiên bản 24H2 trở lên, camera và cảm biến ngoài chuẩn vẫn hoạt động trong ứng dụng như Teams, chỉ bị chặn ở bước đăng nhập Windows Hello.
Tắt ESS rồi bật lại có phải đăng ký vân tay lại không?
Có. Khi thiết bị được nâng lên ESS, Microsoft cho biết các đăng ký và thông tin xác thực không thuộc ESS, gồm cả passkey, sẽ bị xoá, và mọi tài khoản trên laptop phải đăng ký lại ở lần đăng nhập kế tiếp.
Làm sao biết cảm biến sinh trắc đang được ESS bảo vệ?
Mở Event Viewer, vào nhật ký Biometrics, Operational và tìm sự kiện mã 1108. Cảm biến được ghi là cô lập trong tiến trình Virtual Secure Mode nghĩa là ESS đang bảo vệ, còn ghi tiến trình System nghĩa là chưa có ESS.
0 phản hồi cho “Enhanced Sign-in Security là gì - Cách Windows 11 bảo vệ vân tay và khuôn mặt”